QR Code falso: como evitar golpes e pagamentos indevidos na empresa

QR Code falso: o golpe não está no código, mas no destino que a empresa deixa de conferir

Códigos usados em Pix, cobranças, documentos e páginas de acesso tornam operações mais rápidas, mas também podem ocultar favorecidos, sites e formulários diferentes daqueles que o usuário acredita estar acessando.

Por Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade

Uma cobrança chega por e-mail.

O nome do fornecedor está correto. O documento possui aparência profissional. O valor coincide com o esperado e existe um QR Code pronto para pagamento.

O funcionário aponta a câmera do celular.

O código é reconhecido imediatamente.

É nesse momento que pode ocorrer o erro.

O celular conseguiu ler o QR Code. Isso não significa que confirmou a legitimidade do destinatário.

QR Code é uma tecnologia de leitura. Ele pode armazenar ou direcionar para diferentes tipos de informação, como endereço de internet, formulário ou dados utilizados em uma operação de pagamento.

O código pode funcionar perfeitamente e, ainda assim, conduzir a empresa para um destino fraudulento.

Esse é o ponto que precisa mudar na rotina: escanear não é validar.

A leitura deve abrir uma segunda etapa do processo: conferir para onde aquela informação está levando antes de pagar, informar dados ou realizar login.

Quanto mais simples fica executar uma ação digital, maior precisa ser a capacidade da empresa de validar identidade, destino e autorização antes de concluir a operação.

O maior risco do QR Code é esconder aquilo que deveria ser conferido

Quando alguém recebe um endereço escrito, parte do destino pode ser reconhecida antes do clique.

No QR Code, essa informação está convertida em uma imagem. A pessoa não consegue olhar para os blocos gráficos e saber se o código leva para:

• site oficial
• página falsa
• Pix
• formulário
• download
• autenticação
• endereço encurtado
• cobrança legítima

A facilidade está justamente em dispensar digitação. O problema é que a mesma facilidade retira do usuário uma etapa visual de conferência.

Por isso, o controle precisa mudar de lugar. A empresa deve avaliar o resultado apresentado depois da leitura, e não tentar julgar se o desenho do QR Code parece confiável.

QR Code falso não precisa apresentar nenhum defeito

É comum imaginar golpes digitais acompanhados de erros grosseiros. Esse não deveria ser o método de validação.

Um QR Code fraudulento pode abrir normalmente, levar a uma página bem construída, utilizar identidade visual conhecida, reproduzir logotipo, exibir dados verdadeiros da empresa e apresentar valor correto.

O problema pode estar exclusivamente no elemento mais importante: o destino.

A pergunta correta deixa de ser “o QR Code parece verdadeiro?” e passa a ser: o que apareceu depois que eu li o código corresponde ao que eu esperava encontrar?

O risco aumenta quando o destino é um pagamento

Em uma cobrança, existe uma tendência natural de conferir principalmente o valor. Mas valor correto não comprova destinatário correto.

Antes de confirmar uma transação iniciada por QR Code, a empresa deveria verificar os dados apresentados pelo aplicativo financeiro:

• nome do favorecido
• CPF ou CNPJ, quando exibido
• instituição financeira
• valor
• descrição da operação
• contexto da cobrança

A pergunta central é direta: o dinheiro está efetivamente indo para quem deveria receber?

Esse cuidado ganha importância quando ocorre alguma mudança no padrão histórico, como novo banco, favorecido diferente, novo CNPJ recebedor, mudança da chave Pix ou alteração da forma de pagamento.

Mudança não significa fraude. Mas mudança aumenta o valor da conferência.

Aparência correta do documento não garante pagamento correto

Empresas recebem diariamente boletos, notas, guias, faturas, cobranças, propostas e documentos em PDF. É natural associar identidade visual correta à autenticidade.

Esse raciocínio precisa ter limite. Um documento visualmente convincente pode conter QR Code substituído, chave Pix diferente, link modificado ou favorecido incompatível.

Em golpes com deepfakes e fraudes com voz e vídeo falsificados, o risco é uma mensagem parecer ter vindo da pessoa certa.

Aqui, a lógica é semelhante: parecer verdadeiro não deveria ser suficiente para autorizar uma ação crítica.

O controle deve aumentar quando muda a forma habitual de pagamento

Imagine uma empresa que paga determinado fornecedor sempre da mesma maneira. Durante meses, favorecido, banco e processo permanecem estáveis.

Em determinado mês chega uma cobrança com nova conta, novo QR Code, nova chave Pix ou novo CNPJ recebedor.

A alteração pode ser legítima. Mas deveria ser tratada como evento de exceção.

Uma regra simples pode determinar que mudanças de dados bancários sejam confirmadas por outro canal já conhecido, como contato cadastrado, telefone habitual, sistema do fornecedor, segunda aprovação ou validação cadastral.

O objetivo não é desconfiar de toda cobrança. É concentrar a conferência justamente onde o risco mudou.

QR Code também pode direcionar para uma página de login falsa

O golpe não precisa envolver pagamento.

Um QR Code pode abrir uma tela semelhante a Microsoft 365, Google, banco, ERP, plataforma de fornecedor, serviço público ou sistema corporativo.

O funcionário acredita que precisa autenticar sua conta e informa e-mail e senha.

Nesse cenário, nenhuma invasão técnica complexa é necessária. A pessoa entrega voluntariamente a credencial porque confia na página.

Esse risco se torna maior quando existem senhas compartilhadas e acessos pouco individualizados.

Se a credencial capturada possui privilégios elevados, é reutilizada ou pertence a uma conta coletiva, o impacto potencial aumenta.

A fraude começa em um QR Code. A consequência depende da qualidade da gestão de acessos.

Usuário individual ajuda a limitar o impacto

Quando cada trabalhador possui credencial própria e apenas as permissões necessárias, o comprometimento de uma conta tende a ficar mais delimitado.

Quando existe uma conta compartilhada com acesso amplo, um único vazamento pode afetar várias funções.

QR Code, senha, MFA, celular e permissões fazem parte da mesma operação e precisam funcionar de forma coordenada.

MFA ajuda, mas não transforma uma página falsa em legítima

A autenticação multifator adiciona uma barreira importante. Mesmo que alguém obtenha usuário e senha, ainda pode precisar de um segundo fator.

Mas a própria tentativa de fraude pode induzir o usuário a aprovar uma autenticação.

Imagine que o funcionário abra uma página falsa, informe suas credenciais, receba uma solicitação verdadeira de MFA e aprove porque acredita estar concluindo seu próprio login.

MFA reduz risco, mas não substitui a validação do destino.

O celular pode concentrar todas as etapas da fraude

No smartphone podem coexistir e-mail, WhatsApp, navegador, banco, aplicativo autenticador, SMS e sistemas empresariais.

A mesma tela pode receber a mensagem, ler o QR Code, abrir a página, preencher a senha, autorizar o segundo fator e realizar o pagamento.

Essa concentração aumenta os cuidados quando existe uso de celular pessoal no trabalho.

O problema não é necessariamente utilizar o smartphone. É permitir que uma operação crítica seja concluída integralmente no mesmo fluxo, sem nenhum ponto de conferência independente.

Telas pequenas podem dificultar a validação

No celular, é mais difícil visualizar endereço completo, domínio, informações adicionais e detalhes de redirecionamento.

Alguns aplicativos também abrem páginas dentro do próprio ambiente, reduzindo a visibilidade do endereço.

Quando houver dúvida, uma alternativa mais segura é interromper o fluxo e acessar o serviço por um caminho conhecido: aplicativo oficial, portal já utilizado, sistema do fornecedor ou endereço previamente salvo.

O QR Code deveria ser tratado como atalho. Não como autoridade.

Urgência continua sendo uma ferramenta de engenharia social

O código pode chegar acompanhado de mensagens como “último dia”, “pague agora”, “evite multa”, “sua conta será bloqueada”, “confirme imediatamente” ou “pendência urgente”.

A urgência tenta eliminar exatamente a etapa que protege a empresa: a conferência.

O mesmo comportamento aparece em fraudes com deepfake e falsificação de identidade, nas quais autoridade e pressão de tempo são usadas para tentar contornar procedimentos normais.

Por isso, uma regra empresarial precisa ser clara: urgência não elimina controle.

Quanto mais incomum e urgente a solicitação, maior pode ser a necessidade de validar.

Pagamentos críticos não deveriam depender da percepção de uma única pessoa

Existe uma diferença importante entre treinar o funcionário para reconhecer golpes e construir o processo para limitar a consequência de um erro humano.

As duas coisas são necessárias.

Imagine um fluxo em que a mesma pessoa recebe a cobrança, cadastra, aprova e paga. Se ela errar, não existe outra barreira.

Uma empresa pode criar segregação proporcional ao risco.

Usuário A cadastra.

Usuário B confere favorecido e aprova.

Esse desenho também melhora a rastreabilidade dos acessos e das operações.

A tecnologia deve apoiar um processo no qual ações relevantes possam ser verificadas.

O histórico pode ajudar a revelar a exceção

Empresas que realizam pagamentos recorrentes podem usar o comportamento anterior como referência.

• favorecido diferente
• conta nova
• CNPJ divergente
• valor muito acima do padrão
• nova forma de pagamento
• fornecedor recém-cadastrado

Nem todo sistema oferece alertas automáticos. Ainda assim, o raciocínio pode ser aplicado manualmente: o que mudou nesta operação em relação às anteriores?

A análise por exceção direciona esforço para aquilo que realmente merece investigação.

QR Code também pode ser usado para capturar dados

Nem todo golpe procura receber dinheiro imediatamente.

Um código pode abrir formulário solicitando nome, CPF, telefone, e-mail, informações empresariais, senha, código de autenticação ou dados bancários.

Antes de preencher qualquer formulário aberto por QR Code, a pessoa deveria saber quem está solicitando, por qual finalidade, quais dados são realmente necessários e se existe canal oficial alternativo.

A facilidade de abrir a página não comprova a legitimidade da coleta.

QR Codes impressos também exigem atenção

Os códigos não aparecem apenas em telas. Eles podem estar em correspondências, eventos, cartazes, equipamentos, embalagens, estabelecimentos e documentos impressos.

Um QR Code legítimo pode até ser coberto fisicamente por outro. O usuário continua enxergando um código no local esperado, mas o destino pode ter mudado.

Isso reforça uma regra simples: o lugar onde o código foi encontrado também não substitui a conferência do destino.

Obrigações fiscais merecem atenção adicional

Empresas estão acostumadas a receber guias, avisos, notificações e cobranças. Fraudes podem explorar exatamente essa familiaridade.

Um documento pode utilizar razão social, CNPJ, logotipo, linguagem aparentemente oficial e valor plausível e, ainda assim, direcionar o pagamento a destinatário indevido.

O controle mais seguro não é perguntar se o documento parece oficial. É verificar a obrigação no canal apropriado ou junto ao profissional responsável.

Um arquivo possuir dados verdadeiros não significa que o destino eletrônico embutido nele também seja verdadeiro.

Pagamento por QR Code pode ser legítimo e continuar exigindo conferência

QR Code é uma tecnologia legítima e amplamente utilizada. O problema não está no mecanismo em si.

O controle precisa acompanhar a consequência da ação.

Um código que abre material informativo possui risco diferente de um código que inicia pagamento, login, download ou fornecimento de dados.

Quanto maior a consequência, maior deve ser a validação.

O melhor processo reduz a dependência da atenção perfeita

Nenhum treinamento consegue garantir que uma pessoa jamais errará.

Por isso, segurança empresarial não deveria depender exclusivamente da atenção humana.

É possível combinar:

• usuários individualizados
• MFA
• limites financeiros
• dupla aprovação
• conferência de favorecidos
• canais oficiais
• cadastro de fornecedores
• validação de alteração bancária
• treinamento contra phishing

Esses mecanismos funcionam em camadas. Se uma barreira falhar, outra pode impedir que o erro se transforme em prejuízo.

O impacto financeiro também aparece na contabilidade

Quando uma empresa paga um destinatário fraudulento, o problema não termina na saída do dinheiro.

A obrigação legítima pode permanecer em aberto e gerar nova cobrança, atraso, necessidade de investigação, tentativa de recuperação do valor, documentação do ocorrido, revisão de controles e ajustes nos registros financeiros e contábeis.

Na avaliação de Cleiton Celini e Gledson Alves, sócios e contadores da AUDICONT Contabilidade, o QR Code deve ser tratado como uma ferramenta de conveniência, e não como prova de autenticidade.

“Quando a câmera reconhece um QR Code, ela apenas demonstra que conseguiu interpretar aquela informação. A empresa ainda precisa confirmar o destino da operação, principalmente quando existe pagamento, login ou fornecimento de dados. Em movimentações financeiras, conferir o favorecido antes de autorizar continua sendo um controle simples e relevante.”

Uma regra simples: origem, destino, ação e consequência

De onde veio?

O código era esperado?

Para onde está levando?

O domínio, favorecido ou serviço corresponde ao esperado?

O que será feito?

A ação envolve apenas informação ou exige login, pagamento, download ou fornecimento de dados?

Qual seria a consequência de um erro?

Quanto maior o impacto, maior deve ser o nível de conferência.

Sinais de que o QR Code exige validação adicional

• chegou sem ser solicitado
• cria urgência
• solicita senha
• pede código de autenticação
• muda a forma normal de pagamento
• apresenta favorecido desconhecido
• abre domínio estranho
• utiliza endereço encurtado sem contexto
• solicita download
• pede dados incomuns
• vem de contato diferente do habitual
• apresenta vantagem ou ameaça fora do padrão

Nenhum desses sinais comprova fraude isoladamente. Eles indicam que a empresa não deveria continuar automaticamente.

FAQ

QR Code pode ser falso?

Sim. Um QR Code pode direcionar o usuário para endereço, formulário ou pagamento fraudulento. O código pode funcionar normalmente, por isso a verificação deve ocorrer no destino apresentado depois da leitura.

Como identificar um QR Code suspeito?

Analise a origem, o endereço aberto, o favorecido e a ação solicitada. Mudanças de padrão, urgência, domínio estranho ou solicitação inesperada de credenciais são sinais para interromper o fluxo e validar por outro canal.

É seguro pagar Pix por QR Code?

QR Code é amplamente utilizado em pagamentos legítimos. Antes de confirmar, é importante verificar os dados exibidos pelo aplicativo, especialmente favorecido, CPF ou CNPJ, instituição e valor.

QR Code pode roubar senha?

O código pode levar a uma página falsa criada para capturar credenciais. O usuário entrega a senha acreditando estar em um serviço legítimo. Por isso, o domínio precisa ser verificado antes do login.

MFA impede golpe com QR Code?

MFA reduz o risco de uma senha isolada ser suficiente para acessar uma conta, mas não elimina phishing ou indução do usuário. Uma solicitação de autenticação também precisa ser compreendida antes de ser aprovada.

O que fazer se a empresa pagar um QR Code fraudulento?

A organização deve agir rapidamente, comunicar a instituição financeira, preservar documentos e registros da operação e avaliar as medidas adicionais aplicáveis ao caso. Também é recomendável revisar como a fraude superou os controles existentes.

Funcionários devem deixar de usar QR Codes?

Não. QR Codes são ferramentas legítimas e úteis. O controle deve ser proporcional à ação.

Pagamentos, logins, downloads e fornecimento de dados exigem mais atenção do que códigos destinados apenas a conteúdo informativo.

Fontes consultadas

CERT.br / NIC.br - Cartilha de Segurança para Internet

Conferência em 19/08/2026.

CERT.br / NIC.br - Dicas Rápidas

Conferência em 19/08/2026.

Presidência da República - Lei nº 13.709/2018 - Lei Geral de Proteção de Dados Pessoais

Conferência em 19/08/2026.