Golpes com QR codes em apps de mensagens: guia completo para se proteger em 2026

QR codes se tornaram parte do cotidiano brasileiro. Restaurantes, estacionamentos, lojas, transporte público: basta apontar a câmera do celular e pronto. Essa praticidade, no entanto, abriu uma porta perigosa. Em 2026, os golpes com QR codes enviados por apps de mensagens explodiram no Brasil, e o problema não dá sinais de desacelerar.

Segundo dados do Cert.br, as denúncias envolvendo QR codes maliciosos cresceram 274% entre 2024 e o primeiro semestre de 2026. Criminosos perceberam que imagens de QR codes passam despercebidas pelos filtros tradicionais de segurança, porque não contêm links visíveis no texto da mensagem. Para a maioria dos apps de mensagens, aquele quadrado preto e branco é apenas uma imagem inofensiva.

Como funcionam os golpes com QR codes

O mecanismo é simples e eficiente. O golpista envia uma imagem contendo um QR code por mensagem direta ou em grupos. O pretexto varia: pode ser um suposto comprovante de pagamento, um cardápio de restaurante, um convite para evento, um cupom de desconto ou até uma "atualização de segurança" do próprio app. Quando a vítima escaneia o código, é redirecionada para um site falso que imita páginas de bancos, lojas ou serviços conhecidos.

Existem três categorias principais de golpes com QR codes circulando em apps de chat:

1. QR codes de phishing bancário. O código leva a uma página idêntica ao internet banking da vítima. Dados de login, senhas e tokens são capturados em tempo real. Em muitos casos, o criminoso acessa a conta antes mesmo de a vítima perceber o erro.

2. QR codes de pagamento fraudulento. O golpista substitui QR codes legítimos de cobranças reais por códigos que direcionam o valor para contas laranjas. Esse golpe é comum em grupos de compra e venda, onde vendedores enviam QR codes para pagamento via Pix.

3. QR codes de instalação de malware. O código direciona para o download de um aplicativo malicioso que se disfarça de atualização de sistema ou app legítimo. Uma vez instalado, o malware pode capturar tudo o que a vítima digita, incluindo senhas e dados bancários.

Por que apps tradicionais não barram esse golpe

A maioria dos apps de mensagens populares trata imagens como conteúdo neutro. Não existe verificação sobre o destino codificado dentro de um QR code antes de ele chegar ao destinatário. O conteúdo malicioso fica escondido dentro dos pixels, invisível para filtros baseados em texto.

Além disso, muitos apps permitem que qualquer pessoa envie mensagens para qualquer outra, sem necessidade de aprovação prévia. Isso significa que um golpista pode disparar milhares de QR codes fraudulentos para números aleatórios, e todas as mensagens chegam sem obstáculo.

Em apps que permitem grupos com centenas ou milhares de membros, um único QR code compartilhado pode atingir uma audiência enorme em segundos. A combinação de acesso irrestrito e falta de verificação cria o cenário perfeito para esse tipo de fraude.

Sete estratégias práticas para se proteger

1. Nunca escaneie QR codes recebidos por mensagem de desconhecidos. Essa é a regra mais básica. Se você não conhece o remetente, ignore o código.

2. Desconfie de QR codes mesmo de contatos conhecidos. Contas podem ser invadidas. Se um amigo enviar um QR code inesperado com uma mensagem urgente, ligue para confirmar antes de escanear.

3. Use apps de leitura de QR code que mostram a URL antes de abrir. A câmera nativa de muitos celulares abre o link automaticamente. Apps dedicados permitem visualizar o destino antes de decidir se quer acessar.

4. Verifique o domínio do site. Após escanear, antes de digitar qualquer informação, confira se o endereço do site corresponde ao serviço real. Golpistas usam domínios parecidos, como "bancodobrasill.com" ou "nuubank.app".

5. Ative a verificação em duas etapas em todos os seus apps e serviços bancários. Mesmo que suas credenciais sejam capturadas, a segunda camada de autenticação dificulta o acesso do criminoso.

6. Mantenha o sistema do celular atualizado. Atualizações corrigem vulnerabilidades que malwares exploram. Um sistema desatualizado é um convite para invasões.

7. Reporte QR codes suspeitos. Ao receber um código duvidoso, denuncie dentro do app e alerte seus contatos. A informação protege toda a sua rede.

Como o PhizChat protege você

O PhizChat foi construído com uma abordagem diferente: impedir que a ameaça chegue até você. Em vez de depender da sua capacidade de identificar golpes, o app faz o trabalho pesado pela sua segurança.

O sistema de convite e aprovação de contatos do PhizChat garante que apenas pessoas autorizadas podem enviar mensagens a você. Isso elimina o principal vetor dos golpes com QR codes: o disparo em massa para desconhecidos. Nenhum golpista consegue enviar um QR code fraudulento se ele simplesmente não tem acesso ao seu chat.

A verificação de identidade do PhizChat adiciona outra camada de proteção. Você sempre sabe quando um contato verificou sua identidade, o que ajuda a identificar perfis falsos e contas comprometidas.

O PhizChat também oferece controle de descoberta, permitindo que você decida quem pode encontrar o seu perfil. Diferente de apps que expõem seu número a qualquer pessoa que o tenha salvo na agenda, o PhizChat está sendo desenvolvido para manter você no controle total de quem inicia contato.

Baixe o PhizChat e experimente uma comunicação onde a segurança vem de fábrica: https://phizchat.link/blog

Perguntas frequentes

QR codes podem conter vírus?
O QR code em si não contém vírus, mas pode direcionar para sites que instalam malware no celular. O risco está no destino codificado, não no código em si.

É seguro escanear QR codes em restaurantes e lojas?
Em estabelecimentos físicos confiáveis, o risco é baixo. O perigo maior está em QR codes recebidos digitalmente, onde não é possível verificar a origem. Ainda assim, sempre confira o domínio do site antes de inserir dados.

O que fazer se eu já escaneei um QR code suspeito?
Feche o navegador imediatamente. Se digitou dados bancários, entre em contato com seu banco para bloquear acessos. Troque as senhas de todos os serviços que possam ter sido comprometidos e ative a verificação em duas etapas.

Como o PhizChat impede o recebimento de QR codes fraudulentos?
O PhizChat usa sistema de convite e aprovação de contatos. Somente pessoas que você autorizou podem enviar mensagens, o que bloqueia o envio em massa de conteúdo malicioso por desconhecidos.