QR Code falso: como identificar em menus e parquímetros

por Radar Hoje · Published outubro 14, 2026 · Updated outubro 30, 2026

QR Code falso é um adesivo ou imagem que leva para um site, app ou chave Pix de golpista em vez do destino verdadeiro. O golpe tem até nome em inglês, quishing (phishing por QR Code), e aparece tanto na rua — parquímetros, mesas de bar — quanto em e-mails e mensagens. A boa notícia é que dá para evitar a maioria dos casos com conferências simples.

Como o golpe funciona

Um link escrito dá para ler antes de clicar. Um QR Code, não: só o celular sabe para onde ele aponta. Os golpistas aproveitam isso de três jeitos, segundo alertas do FBI (jan/2022) e da FTC, a agência de defesa do consumidor dos EUA (dez/2023):

Adesivo por cima do código verdadeiro: a FTC registra casos de criminosos colando QR Codes próprios sobre os de parquímetros.
Site clonado: o código abre uma página parecida com a original, que pede login, cartão ou dados pessoais.
Pagamento desviado: o FBI alerta que códigos de pagamento podem ser trocados para que o dinheiro vá para a conta do criminoso.

Também existe a versão digital: e-mail ou SMS com QR Code e uma desculpa urgente, como entrega que falhou, problema na conta ou “atividade suspeita”.

Onde tomar mais cuidado

Parquímetros e estacionamentos

É o caso citado nos alertas oficiais. Quem está com pressa paga pelo código colado no totem e acha que quitou a vaga. O dinheiro vai para o golpista e a multa pode vir mesmo assim. Sempre que houver um app oficial da prefeitura ou da empresa de estacionamento, use o app e digite o número da vaga.

Mesas de bar e restaurante

O cardápio por QR Code em si não é problema. Desconfie se a página pedir cadastro com cartão de crédito só para ver o cardápio ou se mostrar um Pix para pagar a conta. Na dúvida, pergunte ao garçom ou pague na maquininha.

QR Code de Pix

Ao ler um Pix por QR Code, o app do banco mostra o nome de quem vai receber antes da confirmação. Confira se é o estabelecimento ou a pessoa certa. Se aparecer um nome de pessoa física desconhecida no lugar da loja, cancele.

Como identificar antes de abrir

Adesivo sobre adesivo: o FBI recomenda verificar se não há um adesivo colado por cima do código original. Passe o dedo: relevo, borda solta ou impressão diferente do resto da placa são sinais de alerta.
Confira o endereço: a câmera do celular costuma mostrar o link antes de abrir. A FTC orienta procurar erros de digitação ou letras trocadas no domínio. Link encurtado ou domínio que não tem nada a ver com o lugar é motivo para não abrir.
Não instale app pelo QR Code: se precisar de um aplicativo, baixe pela loja oficial (Google Play ou App Store). Cardápio e parquímetro não exigem arquivo de instalação.
Não baixe app leitor de QR Code: a câmera do celular já lê. O FBI recomenda não instalar leitores de terceiros.
Código inesperado em e-mail ou SMS: não escaneie. Se a mensagem parecer legítima, entre em contato com a empresa por um telefone ou site que você já conhece.

Cuidados depois de abrir

Desconfie de qualquer página aberta por QR Code que peça senha, dados do cartão ou documentos.
Para pagar, o FBI recomenda digitar você mesmo o endereço conhecido do site em vez de pagar pela página aberta pelo código.
Mantenha o sistema do celular atualizado e use verificação em duas etapas nas contas importantes, como orienta a FTC. Assim, mesmo que uma senha vaze, o golpista tem mais dificuldade de entrar.

O que fazer se caiu

Cartão: bloqueie pelo app do banco e conteste a compra.
Pix: fale com seu banco o quanto antes e peça a contestação pelo MED (Mecanismo Especial de Devolução).
Senha digitada: troque a senha da conta afetada e de outras em que você usava a mesma.
App instalado: desinstale, rode a verificação do Google Play Protect (no Android) e troque senhas de bancos e e-mail.
Registre boletim de ocorrência (muitos estados permitem pela internet) e avise o estabelecimento ou a prefeitura, para que retirem o adesivo falso.

O que fazer agora

Três hábitos resolvem quase tudo: olhar o endereço antes de abrir, nunca instalar app a partir de um QR Code e conferir o nome do recebedor antes de confirmar um Pix. Em estacionamento, prefira o app oficial. E se um código estiver colado por cima de outro, não use — avise quem cuida do local.

Fonte: FBI / IC3 (alerta I-011822-PSA) e FTC (Consumer Alert, dez/2023).