QR Code (e fraudes por QR Code — quishing)

As fraudes com QR Code cresceram exponencialmente no Brasil a partir da popularização do Pix e do uso do código em cardápios digitais, pagamentos presenciais, boletos e campanhas de marketing. As principais modalidades incluem:

(i) substituição física — criminosos colam QR Codes falsos sobre QR Codes legítimos em restaurantes, estacionamentos, cartazes e bombas de combustível, redirecionando pagamentos para suas próprias contas;

(ii) QR Code em e-mail ou mensagem — técnica que burla filtros de phishing tradicionais (que escaneiam links textuais) ao embutir o destino malicioso em imagem;

(iii) QR Code em boleto falso — alteração do código do boleto original para desviar pagamentos;

(iv) QR Code em cartão de embarque, ingresso ou voucher fraudados — geração de códigos que aparentam legitimidade;

(v) Pix Copia e Cola alterado — substituição do conteúdo da área de transferência entre o momento em que o usuário copia o código e o momento em que o cola no aplicativo bancário. A tipificação varia conforme o resultado: estelionato eletrônico (art. 171, §2º-A do CP) quando há indução da vítima ao pagamento voluntário; furto mediante fraude eletrônica (art. 155, §4º-B) quando há acesso direto à conta; invasão de dispositivo (art. 154-A) quando o QR Code instala malware.

A Lei 14.155/2021 aplica-se plenamente. A defesa contra quishing depende de educação do usuário (verificar o destino antes de confirmar pagamentos), de verificação visual de adulteração física do código e de mecanismos bancários de validação.