O golpe do QR Code trocado troca a imagem do código de cobrança, colada no balcão, impressa no boleto ou enviada por mensagem, por outra que leva o dinheiro para a conta de quem fraudou. A resposta curta para quem trabalha com fraude: o código adulterado não engana o aplicativo, porque o nome que o pagador vê antes de confirmar vem da consulta ao Diretório de Identificadores de Contas Transacionais (DICT), não do texto gravado no código. O que ele explora é o pagador que não lê esse nome. Por isso o ponto de controle está menos na imagem e mais na conta que recebe, que existe, foi aberta por alguém e passou pelo cadastro de uma instituição.
Em resumo
- O QR Code estático carrega a chave Pix dentro da imagem; o dinâmico carrega uma URL que o aplicativo do pagador acessa no domínio do prestador do recebedor.
- O Manual de Padrões para Iniciação do Pix manda mostrar ao pagador o nome retornado pelo DICT e ignorar o nome escrito no código.
- O código de verificação no fim do QR (CRC) detecta erro de leitura, não autoria: qualquer um gera um QR estático válido para a própria chave.
- A troca só fecha se a conta de destino aceitar o crédito e deixar o dinheiro sair; é ali que o bloqueio cautelar do art. 39-B do regulamento atua.
Dois tipos de código, dois pontos de ataque
O Regulamento do Pix, anexo à Resolução BCB 1/2020, define os dois tipos no art. 3º. O QR Code estático é aquele "cujas informações da transação de pagamento estão dentro da codificação do QR Code"; o dinâmico, aquele "cujas informações da transação de pagamento estão fora da codificação". O Manual de Padrões para Iniciação do Pix, a que o art. 15 do regulamento remete, detalha a diferença. O estático tem cinco campos configuráveis, um obrigatório (a chave do DICT) e quatro opcionais (identificador da transação, texto livre, valor e o facilitador de saque). O dinâmico guarda uma URL, a "location", que o aplicativo do pagador acessa no momento da leitura para buscar a cobrança no servidor do prestador de serviços de pagamento (PSP) do recebedor.
| Ponto | QR Code estático | QR Code dinâmico |
|---|---|---|
| Onde está o destino | A chave Pix, dentro da imagem | Uma URL no domínio do PSP do recebedor |
| O que o fraudador precisa | Uma chave Pix em conta que ele controla | Uma conta num PSP que gere cobrança para ele |
| O que o aplicativo do pagador confere | A chave no DICT, que devolve o nome do titular | A URL e o domínio autorizado, antes de ler o conteúdo da cobrança |
| O que denuncia a troca | Nome do titular diferente do esperado | Nome do titular e dados da cobrança diferentes do esperado |
O nome que aparece não sai da imagem
O código Pix segue o formato BR Code, derivado da especificação de QR apresentado pelo comerciante da EMVCo. Esse formato tem um campo de nome do recebedor, mas o manual do Banco Central tira dele qualquer valor para o pagador.
O nome a apresentar ao pagador será necessariamente o nome retornado na consulta ao DICT. O MerchantName será ignorado pelo pagador.
Na prática, o fraudador não consegue fazer o aplicativo mostrar "Padaria Central" se a chave pertence a uma pessoa física chamada de outro jeito: o nome exibido é o do titular da conta, tal como cadastrado no DICT pelo PSP dele. A troca dá certo quando o pagador confirma sem ler o nome, ou quando o nome lido é plausível, por exemplo uma empresa recém-aberta com razão social parecida, ou uma pessoa que o pagador supõe ser o dono do comércio.
O fim da imagem também não protege. O BR Code termina com um CRC de 16 bits (polinômio 0x1021, segundo o manual), que serve para o leitor saber se decodificou a imagem sem erro. Ele não prova quem gerou o código: qualquer titular gera um QR estático válido para a própria chave, com o CRC certo.
O dinâmico é mais difícil de forjar, mas não impossível de abusar. O manual exige que o acesso à URL seja feito "após 14 validações, incluindo o domínio válido autorizado pelo PSP do recebedor para geração de QR Codes, exclusivamente via HTTPS", e o conteúdo da cobrança é assinado. Isso impede o fraudador de apontar para um servidor qualquer; não impede que ele abra conta num PSP legítimo e gere, por ele, uma cobrança dinâmica perfeitamente válida para a própria conta.
Leia também Pix e o MED: como o Mecanismo Especial de Devolução funciona na prática
Onde o recebedor de verdade entra
Para o comércio que cobra por QR, as medidas que reduzem a troca são de processo, não de tecnologia de imagem. A leitura da casa:
- preferir a cobrança dinâmica gerada no momento, com valor e identificador da transação, a um QR estático impresso e exposto o dia inteiro;
- conciliar pelo identificador da transação e não só pelo valor: pagamento que não chega com o identificador esperado é sinal de que o cliente pagou outra coisa;
- treinar o caixa a mostrar ao cliente o nome que deve aparecer na tela, e tratar como suspeita a reclamação de "paguei e não caiu".
A conta que recebe é o ponto de controle
Quem trabalha na instituição do outro lado, a que mantém a conta de destino, vê o golpe por outro ângulo: uma conta que recebe muitos Pix de pagadores diferentes, sem relação anterior, de valores típicos de compra, e drena o saldo logo depois. O regulamento já dá à instituição recebedora instrumentos para agir.
O art. 39-B manda bloquear cautelarmente os recursos "quando houver suspeita de fraude", simultaneamente ao crédito, por no máximo 72 horas, e o § 1º diz o que a avaliação deve incluir: a quantidade de notificações de infração vinculadas ao recebedor, o tempo desde a abertura da conta, o horário e o dia da transação e o perfil do pagador, inclusive a recorrência entre os dois. A Resolução BCB 506/2025 revogou o § 7º, que limitava o bloqueio a contas de pessoa natural, e incluiu o art. 39-C, que manda avaliar a suspeita com, no mínimo, os critérios que o Banco Central indicar em documento específico; o art. 39-B não restringe mais o tipo de titular. Se a avaliação achar fundada suspeita, o dinheiro volta pelo Mecanismo Especial de Devolução (MED); se não achar, o bloqueio cessa e o recebedor é avisado.
O segundo instrumento é anterior ao crédito: o cadastro. A conta que recebe o golpe da troca foi aberta com um documento, que pode ser de alguém recrutado para emprestar o nome. A Circular BCB 3.978/2020 manda verificar a identidade e qualificar o cliente com informação compatível com o perfil de risco, e a Carta Circular BCB 4.001/2020 lista situações de movimentação incompatível que valem como indício. O padrão do QR trocado, muitos pagadores novos e saída rápida, é exatamente o que essas listas descrevem para a conta de passagem. A cessão da conta para que nela transite dinheiro de crime passou a ser tipo penal no art. 171, § 2º, VII, do Código Penal, incluído pela Lei 15.397/2026, como mostra o texto sobre a cessão de conta laranja como crime.
Atenção
A possibilidade do bloqueio cautelar precisa constar do contrato com o recebedor, "mediante cláusula em destaque no corpo do instrumento contratual, ou por outro instrumento jurídico válido" (art. 39-B, § 8º). Instituição que não a previu de nenhuma das duas formas fica sem o instrumento na conta que mais precisaria dele.
O que pedir a cada lado
Do lado do comércio: cobrança dinâmica, conciliação por identificador e o hábito de conferir o nome. Do lado da instituição do pagador: exibir com destaque o nome devolvido pelo DICT e o documento mascarado do titular antes da confirmação. Do lado da instituição recebedora: cadastro que barre o titular recrutado, monitoramento que veja muitos pagadores novos numa conta jovem, bloqueio cautelar com cláusula no contrato e o MED quando a suspeita se confirma.
Na UNIFOKAL, a parte que cabe é a da abertura: a verificação de identidade com documento, selfie e prova de vida confirma que quem abre a conta é o titular do documento, a barreira contra a conta aberta com o documento de outra pessoa. O titular recrutado que empresta o nome passa por ela, e o monitoramento da conta segue necessário.
Fontes citadas
- Banco Central do Brasil, Resolução BCB 1/2020 (Regulamento do Pix), arts. 3º, 15, 39-B e 39-C, texto vigente na API de normativos do BCB
- Banco Central do Brasil, Manual de Padrões para Iniciação do Pix, versão 2.10.0, seções 2.4, 2.5.2 e 2.6, no site do BCB
- Banco Central do Brasil, Circular BCB 3.978/2020, arts. 16 e 18, versão consolidada no site de normativos do BCB
- Banco Central do Brasil, Carta Circular BCB 4.001/2020, no site de normativos do BCB
- Código Penal, art. 171, § 2º, VII, na redação da Lei 15.397/2026, texto compilado no Planalto