Golpe troca até o Pix copia e cola e desvia dinheiro de compras

Um golpe em compras online troca o QR Code do Pix por outro destinatário e também pode atingir o código copia e cola usado no celular. O alerta do Procon-SP mostra por que conferir apenas o valor não basta: a quantia pode parecer correta, enquanto a autorização encaminha o dinheiro a uma conta sem relação com a compra.

A orientação foi publicada no site do Procon-SP em 16 de setembro e reforçada pela Prefeitura de Bofete, em parceria com o órgão, em 5 de outubro. O cuidado recomendado é verificar os dados de quem receberá dentro do aplicativo bancário, antes de confirmar o pagamento.

Há ainda uma informação que exige precisão depois de uma fraude: o prazo geral para pedir o Mecanismo Especial de Devolução não deve ser confundido com outras contestações previstas nas regras do Pix.

Como o pagamento pode mudar de destino sem mudar de valor?

O alerta descreve a substituição do código apresentado no pagamento de uma compra virtual. Ao usar o QR Code ou colar a sequência recebida, o consumidor pode iniciar uma transferência cujo beneficiário não corresponde ao vendedor legítimo.

A etapa decisiva, portanto, não é apenas reconhecer a página do pedido. É parar na confirmação do aplicativo bancário e comparar o destinatário com a empresa ou instituição que deveria receber.

O Procon recomenda que o consumidor “não se limite a conferir o valor da compra antes de autorizar o Pix”. A existência de uma quantia compatível com o carrinho não valida, por si só, o restante da operação.

Essa é uma diferença importante em relação ao cuidado habitual de revisar apenas se houve erro de digitação. O problema apontado não exige um valor maior ou uma cobrança visualmente absurda. O dinheiro pode sair no montante esperado e ainda seguir para o destino errado.

O copia e cola é mais seguro do que apontar a câmera?

O aviso oficial inclui expressamente as duas formas de iniciar o pagamento. Trocar a leitura pela câmera pelo copia e cola, sem conferir o recebedor, não elimina o risco descrito.

Isso acontece porque a questão central é a informação utilizada para direcionar a transação, não o gesto de apontar o celular. O mesmo cuidado precisa existir quando o código chega por uma página, quando é copiado para a área de transferência ou quando é lido pela câmera.

Para o consumidor, é mais útil criar uma regra de confirmação do que escolher um formato e passar a confiar automaticamente nele. Antes de autorizar, responda: quem receberá, por qual motivo e como essa identidade foi confirmada?

A comparação não deve ficar limitada a uma imagem enviada pelo atendimento. A referência precisa ser a própria compra e as informações verificáveis do responsável pelo recebimento.

O que precisa ser lido na tela do aplicativo bancário?

O manual de experiência do usuário do Pix estabelece informações que devem aparecer antes da confirmação de pagamentos por QR Code, incluindo a identificação do recebedor e o valor. O objetivo é permitir que o pagador examine a operação antes de autorizá-la.

Na orientação específica sobre esse golpe, o Procon destaca nome e CNPJ. Se o pagamento utiliza uma instituição intermediadora, os dados precisam corresponder à empresa ou instituição indicada no processo de compra.

Isso evita dois erros opostos. O primeiro é aceitar um destinatário completamente desconhecido porque o valor está certo. O segundo é concluir imediatamente que existe fraude apenas porque a razão social não está escrita exatamente como a marca vista na vitrine.

Uma diferença precisa ser esclarecida antes, não justificada depois. Procure o atendimento legítimo da loja por um caminho independente e confirme quem está autorizado a receber. Se não houver explicação verificável, interrompa a operação.

Ler a tela do banco não deve ser uma formalidade executada enquanto se corre para concluir a compra. É o momento em que ainda é possível decidir não autorizar aquela transferência.

O alerta prova que o Pix foi invadido ou que meu celular tem vírus?

Não. Os comunicados consultados descrevem uma fraude no direcionamento do pagamento, mas não apresentam um laudo técnico que estabeleça como cada código foi substituído. Não identificam, nesses textos, uma lista de lojas atingidas nem um total de vítimas ou de dinheiro perdido.

Por isso, seria incorreto atribuir automaticamente o caso a um vírus, a uma extensão de navegador, a uma invasão do banco ou a uma quebra da segurança do Pix. Essas hipóteses exigiriam evidências específicas.

A ausência de um diagnóstico técnico individual também significa que a solução não deve começar por medidas aleatórias, como apagar o aparelho ou instalar um programa recomendado pelo mesmo contato que gerou a suspeita.

Primeiro, documente a divergência e interrompa o pagamento. Depois, busque orientação pelos canais oficiais envolvidos. A providência precisa responder ao que foi observado, sem acrescentar uma explicação que o alerta não comprovou.

O que fazer nos primeiros contatos depois de pagar?

O Procon Bofete orienta avisar imediatamente o banco, informar que se trata de suspeita de golpe, solicitar contestação e comunicar a loja. Também recomenda guardar comprovantes, capturas de tela, conversas, documentos e protocolos.

Na conversa com a instituição financeira, identifique a transação concreta: data, horário, valor e destinatário. Explique o que deveria ter sido pago e qual divergência foi percebida. Isso é mais informativo do que comunicar apenas que o pedido não apareceu como concluído.

O guia do Banco Central prevê o contato pelo canal de atendimento da instituição ou pela funcionalidade de autoatendimento do MED no aplicativo. O usuário deve relatar a fraude e solicitar a devolução dos valores.

Ao procurar a opção no celular, parta do aplicativo legítimo já utilizado para movimentar a conta. Não aceite um novo link de suposto suporte como condição para começar a contestação.

Anote o protocolo e acompanhe o encaminhamento. A comunicação com a loja deve ocorrer em paralelo, mas não precisa atrasar o aviso ao banco enquanto se tenta descobrir a origem da adulteração.

O prazo para pedir devolução é de 80 ou de 30 dias?

Para o pedido do pagador relativo à transferência original, o Banco Central informa prazo máximo de 80 dias, contados da transação. Em nota de 3 de setembro, a autoridade monetária foi explícita: “as regras gerais do MED permanecem inalteradas”.

O guia técnico distingue esse pedido de uma contestação envolvendo uma transação de devolução, para a qual aparece um prazo de 30 dias. São situações diferentes; não se deve transformar a existência dos dois números em uma regra geral de ampliação recente para todas as operações.

Essa distinção é importante porque os avisos locais sobre o golpe usam uma formulação simplificada sobre passagem de 30 para 80 dias. Para orientar o consumidor quanto ao funcionamento do mecanismo, a referência utilizada aqui é a documentação do próprio Banco Central.

O prazo máximo não é uma recomendação de espera. A orientação do BC é registrar o pedido assim que a fraude for identificada. Adiar a comunicação não oferece vantagem para a análise e pode dificultar a recuperação.

O MED garante que o banco devolverá todo o valor?

Não. O Banco Central informa que a análise do caso e a disponibilidade de recursos influenciam o resultado. Solicitar a devolução não equivale a receber uma garantia de ressarcimento integral.

Também é necessário distinguir fraude de outras situações. O guia do MED não enquadra automaticamente um Pix enviado por engano, um arrependimento ou um desacordo comercial sem características de fraude.

Isso não significa que toda compra sem entrega esteja fora do mecanismo. A documentação diferencia uma controvérsia comercial de uma venda fraudulenta. A descrição correta dos fatos é essencial para que a instituição avalie o enquadramento.

Para quem está tentando recuperar dinheiro, o melhor caminho é relatar o ocorrido sem adaptar a história a uma categoria escolhida por tentativa. Informe a divergência no beneficiário, apresente a oferta e preserve a evidência do que foi prometido.

Da mesma forma, uma resposta negativa ao MED não encerra automaticamente toda discussão sobre responsabilidade. Ela trata de um mecanismo específico; eventuais medidas de defesa do consumidor precisam considerar o caso concreto, sem promessa antecipada de resultado.

Quem perde quando a loja não reconhece o pagamento?

O comprador pode ficar sem o dinheiro e sem a confirmação do pedido. O vendedor legítimo também pode ser envolvido em uma reclamação sobre um valor que não entrou em sua conta. Essa diferença é central para entender por que avisar tanto o banco quanto a loja faz parte da orientação.

Não é possível decidir, apenas com o alerta geral, quem deve ressarcir cada ocorrência. A análise pode depender de onde houve a adulteração, de quais informações foram apresentadas e das medidas adotadas pelos envolvidos.

Para o consumidor, uma prática útil é separar o comprovante bancário do comprovante comercial. O primeiro registra para quem a transferência foi efetivamente enviada; o segundo ajuda a demonstrar o que estava sendo comprado e de quem.

Se a loja disser que não recebeu, não faça outro pagamento automaticamente para destravar o pedido. Compare os documentos, esclareça o destino anterior e mantenha o registro da reclamação. Pagar novamente não responde à pergunta sobre o que aconteceu com a primeira transação.

Como organizar as provas sem espalhar dados pessoais?

A recomendação de preservar registros não exige publicar comprovantes completos em redes sociais. Encaminhe as informações pelos canais oficiais do banco, da loja e dos órgãos responsáveis pelo atendimento do caso.

Monte uma sequência compreensível: página da oferta, identificação do pedido, tela de pagamento, comprovante da transferência e contatos posteriores. Guarde os arquivos originais sempre que possível e não altere o conteúdo que precisa ser analisado.

Esse cuidado facilita distinguir uma falha de comunicação sobre o pedido de uma divergência real no destinatário. Também reduz a chance de perder justamente o registro que mostra como a cobrança foi apresentada.

As orientações do Procon Bofete incluem conservar conversas e protocolos, além dos comprovantes. A utilidade está no conjunto: um documento isolado pode demonstrar que houve pagamento sem explicar por que ele foi autorizado.

O que deve mudar na próxima compra pelo celular?

A mudança mais imediata não exige abandonar o Pix. Exige retirar a confirmação final do modo automático: abrir o aplicativo, ler o recebedor, confrontar a identidade com a compra e parar quando houver divergência.

O manual do Banco Central prevê a apresentação de dados antes da autorização justamente para que essa conferência seja possível. A tela de confirmação deve funcionar como uma decisão, não como uma etapa que se atravessa sem leitura.

Também é importante manter o alerta na medida certa. Os órgãos consultados não oferecem uma lista completa de estabelecimentos atingidos nem um teste capaz de certificar que qualquer código é legítimo. A verificação deve ocorrer em cada transação, com as informações disponíveis naquele pagamento.

Leia também: Comprovante de Pix falso: como conferir se o dinheiro caiu; Como denunciar golpe digital: polícia, banco e canais oficiais; O que acontece com quem tenta transferir para uma chave Pix marcada por fraude?.