Golpe do QR Code do Pix: como conferir o destinatário antes de pagar

Antes de pagar um Pix por QR Code numa loja online, confira no app do banco o nome e o CNPJ de quem vai receber. Se não for a loja, ou a empresa de pagamento que ela usa, não pague.

O alerta é do Procon-SP, que em 12 de setembro de 2026 avisou sobre um golpe que troca o QR Code do Pix nas páginas de pagamento de lojas virtuais. O valor continua certo, mas o dinheiro vai para a conta de outra pessoa. Abaixo, como o golpe funciona, o que o app do banco é obrigado a mostrar antes do pagamento e o que fazer se o Pix já saiu.

Como funciona o golpe que troca o QR Code do Pix

Segundo o Procon-SP, a fraude foi identificada em lojas virtuais e substitui o código legítimo de pagamento por outro, que pode desviar o dinheiro para contas de criminosos.

O consumidor faz a compra normalmente, chega à tela de pagamento e vê o QR Code do Pix, como sempre. Só que aquele código não é o da loja. A alteração, diz o órgão, também pode atingir a opção "copia e cola" do Pix.

Por isso o golpe é difícil de notar: o site é o de sempre, o produto é o que você escolheu e o valor bate com o carrinho.

Por que conferir só o valor não basta

É o hábito de quase todo mundo: ler o QR Code, olhar se o valor está certo e confirmar. Nesse golpe, esse hábito não protege.

O Procon-SP recomenda que o consumidor não se limite a conferir o valor da compra antes de autorizar o Pix. A orientação é verificar os dados do destinatário que aparecem no aplicativo do banco.

Para o Procon-SP, conferir os dados exibidos pelo banco é uma etapa importante para identificar uma possível adulteração do QR Code ou do código copia e cola. O golpista consegue copiar o valor. O que ele não consegue é pôr o nome da loja na conta dele.

O que o app do banco é obrigado a mostrar antes de você pagar

A conferência funciona porque o Banco Central obriga os bancos a mostrar quem vai receber. Pelas regras de experiência do usuário do Pix (versão 7.3, de dezembro de 2025), antes da confirmação do pagamento por QR Code, o app deve mostrar os dados do recebedor que estão na base oficial de chaves Pix, o DICT.

O número da agência e o da conta do recebedor não devem aparecer para quem paga. Os dados que você vê saem do cadastro da chave Pix, e não do site da loja, e é isso que denuncia a troca.

Nome fantasia, razão social ou intermediador: como ler o destinatário

Na hora de conferir, pode surgir uma dúvida: o nome que aparece nem sempre é o nome da loja escrito do mesmo jeito do site.

Pelas regras do Banco Central, quando o recebedor tem CNPJ, o app deve mostrar o nome fantasia da empresa, se existir. Se não existir, aparece o nome empresarial, a razão social.

Há ainda outro caso comum. Segundo o Procon-SP, quando o pagamento é processado por uma instituição de meio de pagamento, o nome e o CNPJ devem corresponder à empresa ou instituição indicada no processo de pagamento. Ou seja, o destinatário pode ser a empresa que processa o pagamento da loja, desde que seja a que aparece no próprio processo de compra.

O sinal de alerta, diz o órgão, é um destinatário desconhecido, sem relação com a loja nem com a instituição responsável pela transação.

Como conferir o Pix passo a passo na hora da compra

1. Na tela de pagamento da loja, anote o nome da empresa e, se aparecer, o CNPJ ou a empresa de pagamento indicada.
2. Leia o QR Code com o app do banco, ou cole o código copia e cola.
3. Pare na tela de confirmação. Não toque em confirmar ainda.
4. Leia o nome e o CNPJ do recebedor que o banco mostra.
5. Compare com a loja ou com a empresa de pagamento indicada na compra.
6. Se não bater, cancele. O Banco Central exige que o app ofereça a opção de cancelar antes da confirmação.

A regra do Procon-SP é simples: se houver divergência ou aparecer um destinatário desconhecido, não conclua o pagamento.

QR Code estático e dinâmico: o que muda na conferência

O Pix tem dois tipos de QR Code, e as regras do Banco Central tratam cada um de um jeito.

No QR Code dinâmico, quem paga pode cancelar, mas não pode editar os dados lidos do código, com exceção do valor quando o recebedor permite. No QR Code estático, se o código já traz o valor, ele não pode ser alterado; se não traz, você digita o valor antes de confirmar.

Nos dois casos, a tela antes da confirmação mostra o recebedor. É nessa tela, e não na página da loja, que a conferência vale.

Paguei para o destinatário errado: o que fazer agora

Se você percebeu depois que o Pix foi para um destinatário diferente do da compra, o Procon-SP orienta:

• Fale imediatamente com o seu banco, pelo canal oficial, e informe que foi golpe.
• Peça a contestação da transação e a devolução pelo Mecanismo Especial de Devolução, o MED 2.0.
• Avise a loja onde a compra foi feita.
• Guarde todos os registros: o comprovante do Pix, prints da página de pagamento e os contatos feitos com a loja e com o banco.

Avisar a loja também importa para os outros clientes: se o código dela foi trocado, ela precisa saber.

O prazo do MED e onde mais registrar

O Banco Central ampliou de 30 para 80 dias o prazo para usar o MED, segundo o Procon-SP. O prazo conta a partir do envio ou do recebimento da transação e vale tanto para o consumidor quanto para o lojista.

Mesmo com prazo maior, avise o banco assim que perceber o golpe. O passo a passo do pedido está no nosso guia sobre o MED, a devolução do Pix em caso de golpe.

Para saber onde denunciar a fraude, veja como denunciar golpe digital. E para conhecer os outros golpes que usam o Pix, como a falsa venda e a falsa central, leia o nosso guia dos golpes do Pix mais comuns.