Publicado originalmente no site da Pardi e Morais: pardimorais.com.br/golpe-qr-code-pix
Por Danilo Pardi e Afonso Morais, da Pardi e Morais
Se você pagou pelo QR Code que estava na mesa, no balcão ou na placa do estacionamento e o dinheiro caiu na conta de um golpista, a sua dívida com o estabelecimento, em regra, está paga. É o que diz o art. 309 do Código Civil: o pagamento feito de boa-fé ao credor putativo é válido. O prejuízo fica com quem controlava o meio de pagamento, e não com quem pagou.
Escrevo isso porque a Febraban voltou a alertar, nesta semana, para o quishing: adesivos com QR Code falso colados por cima do código verdadeiro em restaurantes, feiras e estacionamentos, além de códigos trocados em boletos e páginas de lojas virtuais. O alerta foi noticiado pelo Jornal do Comércio em 21 de outubro e pela Folha BV nesta sexta-feira (23).
A orientação da Febraban está certa: conferir no aplicativo do banco o nome do recebedor antes de confirmar. Mas ela não responde à pergunta que chega ao escritório no dia seguinte. O dinheiro já saiu. Quem arca com isso?
O golpe do QR Code não é o golpe da falsa central
No golpe da falsa central, alguém liga, manipula a vítima e a convence a transferir. O STJ, no REsp 2.209.868 (3ª Turma, 2026), deixou claro que, nesse cenário, a responsabilidade do banco não é automática e pode ser afastada pela culpa exclusiva da vítima.
No QR Code adulterado ninguém conversa com a vítima. Ela quer pagar o restaurante, está dentro do restaurante e usa o código que o restaurante exibe. A fraude não ataca a vítima. Ataca o canal de cobrança do estabelecimento.
Isso muda a ordem das perguntas. Antes de discutir se algum banco falhou, é preciso saber se aquele pagamento extinguiu a dívida. E, na maioria dos casos que vejo, extinguiu.
O que o art. 309 do Código Civil diz sobre pagar ao golpista?
Credor putativo é quem, aos olhos de uma pessoa razoável, parece ser o credor, embora não seja. A lei protege quem paga a ele de boa-fé: o pagamento é válido “ainda que provado depois que não era credor”.
São dois requisitos: a boa-fé de quem pagou e uma aparência que justifique o engano. No quishing presencial, a aparência é criada pelo próprio ambiente do estabelecimento. O código estava na mesa dele, no balcão dele, no cartaz dele, dentro de um espaço que só ele controla.
Quando há relação de consumo, o raciocínio ganha reforço no art. 14 do CDC. O fornecedor responde pelos defeitos do serviço, e o meio de pagamento que ele oferece faz parte do serviço. Quem expõe um QR Code estático impresso, sem conferir se o código verdadeiro continua ali, assume um risco do próprio negócio. Cobrar o cliente de novo é empurrar esse risco para quem não tinha como controlá-lo.
O ponto de prova que decide o caso: o nome que apareceu na tela
Aqui está a parte que pouca gente comenta. Antes de confirmar o Pix, o aplicativo mostra o nome do recebedor. Esse dado é o centro da discussão sobre boa-fé.
Se a tela mostrou o nome de uma pessoa física e o estabelecimento é pequeno, a boa-fé fica preservada: muito comércio recebe na conta do dono ou de um MEI. Se a tela mostrou uma empresa de outro ramo, de outra cidade, o estabelecimento vai alegar que o cliente deveria ter desconfiado, e o juiz vai olhar com mais rigor.
Por isso, na prática, o que decide o caso é a prova reunida nos primeiros minutos:
- foto do adesivo ainda colado, antes que alguém o arranque;
- comprovante do Pix com o nome do recebedor;
- comanda, nota ou pedido que mostre o valor devido ao estabelecimento;
- horário, local e o nome de quem atendeu.
E a instituição que abriu a conta do golpista?
Para o estabelecimento que perdeu as vendas, e para o cliente que não consiga demonstrar boa-fé, o alvo natural é a instituição recebedora. A Súmula 479 do STJ diz que instituições financeiras respondem objetivamente por fraudes de terceiros ligadas às suas operações. Mas o STJ exige prova do defeito. No REsp 2.124.423 (3ª Turma, rel. Min. Nancy Andrighi, 2024), um banco digital que recebeu o Pix de um golpe de leilão falso não foi responsabilizado: a conta recebeu uma única transferência e não ficou demonstrada falha na abertura ou no monitoramento.
O quishing de adesivo tem outro desenho. É golpe de volume. A mesma conta recebe dezenas de pagamentos pequenos, de pagadores sem relação entre si, em poucas horas e no mesmo bairro. Esse é o padrão que qualquer sistema de prevenção à fraude deveria enxergar. O STJ já afirmou, no REsp 2.222.059 (3ª Turma, 2025), que instituições de pagamento têm deveres de segurança semelhantes aos dos bancos e, no AREsp 3.193.758 (4ª Turma, 2026), que a abertura de conta com documentos falsos é fortuito interno.
A Lei 15.397/2026 ajuda a fechar o cerco: ceder a conta para receber dinheiro de golpe passou a ser estelionato (art. 171, § 2º, VII, do Código Penal). E a Resolução Conjunta nº 6/2023 obriga as instituições a compartilhar indícios de fraude entre si. Se a conta recebedora já estava marcada e mesmo assim seguiu recebendo, a tese de falha do serviço fica forte. Explico esse ponto no texto sobre conta laranja.
O que fazer, na ordem certa
Se você pagou e o dinheiro foi para o golpista:
- Avise o estabelecimento na hora e fotografe o adesivo.
- Peça a devolução pelo MED no seu banco no mesmo dia. O prazo vai até 80 dias, mas o MED 2.0 (Resolução BCB nº 493, obrigatório desde 2 de fevereiro de 2026, segundo a Agência Brasil) rastreia o dinheiro por várias contas, e cada hora conta.
- Guarde o comprovante e a comanda, e registre o boletim de ocorrência.
- Se o estabelecimento cobrar de novo, responda por escrito, com o comprovante e a foto, citando o art. 309 do Código Civil.
Se o MED for negado, veja o caminho em contestação do Pix negada: e agora?.
Se você é o estabelecimento:
- Retire os QR Codes estáticos impressos. Prefira o QR dinâmico, gerado no caixa ou na maquininha para cada venda, com valor e identificação próprios.
- Faça o boletim de ocorrência, avise o seu banco e documente os pagamentos desviados: horários, valores e comprovantes dos clientes.
- Não cobre de novo o cliente de boa-fé. Além do risco jurídico, há o dano de imagem.
- Avalie a ação contra a instituição recebedora, com pedido de exibição dos dados de abertura e de movimentação da conta.
Para o lado do lojista no MED 2.0, veja fraude no Pix contra empresas e a nossa página de atendimento a empresas.
Ponto de atenção: o que ainda está em aberto
O argumento contrário mais forte é a culpa exclusiva da vítima: o pagador viu o nome na tela e confirmou. Contra o banco do próprio pagador, esse argumento costuma vencer. A ordem foi autêntica, de valor baixo e dentro do perfil do cliente. Não há transação atípica para barrar, ao contrário do cenário em que o STJ responsabilizou o banco no REsp 2.052.228. Por isso não vejo o banco pagador como alvo natural nesse golpe.
Contra o estabelecimento, o argumento perde peso. O art. 309 não exige que o pagador seja perito. Exige boa-fé, medida pela aparência criada no local. Conferir o nome é um dever de cautela, mas um nome compatível com um pequeno negócio não desfaz essa aparência. Se o nome era claramente estranho, a discussão tende a migrar para a divisão do prejuízo, e não para a perda total de quem pagou.
Até onde pesquisei, o STJ ainda não julgou especificamente o QR Code adulterado em estabelecimento físico. E há uma distinção importante: o QR falso numa página que imita uma loja é outro caso, porque ali a aparência foi criada pelo golpista, não pelo lojista. Esse cenário está no texto sobre compra em site falso. Vale também reler quando o STJ enxerga culpa da vítima.
Se você pagou por um QR Code adulterado, ou se o seu negócio foi alvo de adesivos falsos, me chame no WhatsApp. Atendemos casos de golpe do Pix em Barueri, Alphaville e em todo o Brasil.
Referências
- BRASIL. Código Civil (Lei nº 10.406/2002), art. 309. Planalto. Acesse.
- BRASIL. Código de Defesa do Consumidor (Lei nº 8.078/1990), art. 14. Planalto. Acesse.
- BRASIL. Lei nº 15.397, de 30 de abril de 2026. Planalto. Acesse.
- STJ. Golpes virtuais, danos reais: o STJ diante das fraudes envolvendo instituições financeiras (REsp 2.052.228, REsp 2.124.423, REsp 2.209.868, REsp 2.222.059 e AREsp 3.193.758), 11/10/2026. Acesse.
- STJ. Súmula 479. Acesse.
- Banco Central do Brasil. Resolução BCB nº 493 (MED 2.0). Acesse.
- Banco Central do Brasil e CMN. Resolução Conjunta nº 6, de 23/5/2023. Acesse.
- Agência Brasil. Novas regras de segurança do Pix entram em vigor, fev/2026. Acesse.
- Jornal do Comércio. Golpe do QR Code pode desviar pagamentos por boleto e Pix, 21/10/2026. Acesse.
- Folha BV. Febraban alerta para golpe do QR Code com adesivos, 23/10/2026. Acesse.
Sobre os autores
Danilo Pardi é advogado (OAB/SP 384.895), sócio fundador da Pardi e Morais Advogados, pós-graduado em Direito Digital e Compliance (IBMEC) e em Direito Digital e Proteção de Dados (EBRADI), membro da ANPPD e criador do podcast Falando de Fraudes. Afonso Morais é advogado (OAB/SP 77.133), sócio da Pardi e Morais, com mais de 40 anos de atuação, pós-graduado em Contratos e Direito Bancário e colunista do quadro Alerta de Fraudes.
Foto: Albert Hu / Unsplash
