QR codes: como conferir o destino antes de abrir um link ou fazer um pagamento

Um QR code pode levar a um site, exibir um texto, conectar o celular a uma rede Wi-Fi ou iniciar um pagamento. Como os quadrados da imagem não revelam o conteúdo a olho nu, o leitor precisa conferir o que o celular fará depois da leitura — antes de abrir um link, informar dados ou confirmar uma transação.

O código em si não é uma garantia de segurança nem, por si só, prova de golpe. O cuidado principal é tratar o destino como trataria um link recebido por mensagem: verificar se faz sentido e se corresponde ao serviço que você pretendia acessar.

O que existe dentro dos quadrados

QR code é um código de barras bidimensional. Em vez de guardar informação apenas em linhas, usa uma grade de pequenos quadrados para representar dados, como letras, números, endereços de internet ou informações de pagamento. Os padrões maiores nos cantos ajudam a câmera a localizar e ler o código, mesmo que o aparelho esteja inclinado.

Alguns QR codes também incluem redundância, isto é, dados extras que permitem recuperar parte da informação quando a imagem está suja ou danificada. Isso explica por que um código pode continuar funcionando mesmo com um pedaço encoberto. Essa capacidade ajuda na leitura; não confirma que o conteúdo é legítimo.

Depois da leitura, o celular interpreta os dados e pode sugerir uma ação: abrir uma página, conectar-se a uma rede, mostrar um contato ou chamar o aplicativo do banco. Em geral, a leitura e a ação são etapas distintas. O aviso exibido pelo aparelho ou pelo aplicativo é a oportunidade de verificar o próximo passo antes de prosseguir.

Por que um QR code pode ser usado em golpes

O código esconde visualmente o endereço ou os dados que contém. Um golpista pode explorar isso de algumas formas:

• Colar um adesivo sobre um código legítimo, por exemplo em um parquímetro, cartaz ou mesa de restaurante, para substituir o destino.
• Enviar um QR code inesperado por e-mail ou mensagem, acompanhado de uma justificativa urgente, como confirmar uma conta, pagar uma taxa ou reagendar uma entrega.
• Direcionar a uma página falsa que imita um banco, loja ou serviço e pede senha, dados do cartão ou outras informações.
• Preparar um Pix para outro recebedor, com valor diferente do esperado ou sem o contexto da cobrança.

A leitura, sozinha, normalmente não significa que o celular foi invadido. O problema costuma surgir quando a pessoa abre um site suspeito, fornece informações, instala algo ou aprova uma ação sem conferir os dados. Por isso, a prévia do destino e as telas de confirmação importam.

Antes de abrir o link

Quando a câmera reconhecer um QR code, confira o endereço que aparece antes de tocar para abrir. Procure o domínio principal e veja se ele corresponde ao site esperado. Golpistas podem usar nomes parecidos, com letras trocadas, hífens ou extensões diferentes. Um cadeado ou o prefixo https indica que a conexão com aquele endereço é criptografada; não prova que o site pertence à empresa que afirma representar.

Endereços encurtados também merecem cuidado porque escondem o destino final. Se o QR veio em uma mensagem que você não esperava — principalmente com pressão para agir rápido —, não use o código como forma de confirmar a mensagem. Acesse o aplicativo ou o site oficial por um caminho conhecido ou procure a empresa usando contatos já verificados.

Em locais públicos, observe se há sinais de que o código foi coberto ou substituído: adesivo por cima da placa, bordas levantadas, impressão diferente do restante ou instruções que parecem improvisadas. Se houver dúvida, peça ao estabelecimento o endereço oficial ou outra forma de pagamento.

Para pagar com Pix, a última conferência é no banco

O Pix pode usar QR codes com diferentes formatos. Em um modelo estático, os dados necessários ao pagamento ficam no próprio código; ele pode ser reutilizado e pode trazer um valor definido. Em um modelo dinâmico, o código inclui um endereço que permite buscar os dados da cobrança, como valor e identificador. Essa diferença diz respeito a como a cobrança é montada; não é um selo automático de legitimidade.

Depois de escanear, confira na tela do aplicativo bancário:

• Nome do recebedor: precisa corresponder à pessoa ou empresa que deveria receber.
• Valor: veja se bate com o preço combinado ou com a cobrança.
• Descrição e contexto: confirme se a cobrança faz sentido para a compra ou serviço.
• Instituição e outros dados exibidos: use essas informações como verificações adicionais, sem ignorar divergências no nome ou no valor.

Só confirme depois dessa revisão. Se o nome não corresponder, o valor estiver diferente ou a cobrança aparecer sem explicação, interrompa a operação e confirme os dados com o estabelecimento por outro canal. Não faça um Pix de “teste” para descobrir se o código é verdadeiro.

O mesmo princípio vale para boletos que incluem um QR Pix: ele pode iniciar um pagamento instantâneo, que segue um fluxo diferente do pagamento do código de barras. Confira o beneficiário e o valor na tela do banco antes de autorizar.

Pequeno roteiro de segurança

1. Leia o código com a câmera ou pelo aplicativo apropriado, sem instalar um leitor desconhecido.
2. Veja qual ação o celular está propondo antes de aceitá-la.
3. Confira o domínio completo antes de abrir um site; desconfie de endereços encurtados ou com erros.
4. Não informe senha, código de autenticação ou dados bancários em uma página aberta por um QR inesperado.
5. Em pagamentos, valide recebedor e valor na tela do banco.
6. Se a origem do código for duvidosa, procure o serviço pelo aplicativo oficial, digitando o endereço conhecido ou usando os canais que você já utiliza.

QR codes tornam ações digitais rápidas porque transportam dados em uma imagem. A mesma rapidez reduz o tempo para perceber um endereço adulterado ou um pagamento incorreto. Uma pausa curta para conferir o destino e, no caso do Pix, o recebedor e o valor, é a etapa que transforma a leitura automática em uma decisão consciente.