Golpe do Pix copia e cola: como identificar código falso antes de pagar

Mariana fechou a compra de um sofá usado por R$ 1.800 no grupo de vizinhos do condomínio. O vendedor — um morador conhecido — publicou o Pix copia e cola às 14h. Às 14h37, outro participante do grupo colou um código quase idêntico, com mensagem "aproveitem, última unidade". Mariana copiou o segundo código sem perceber que o beneficiário era José da Silva, pessoa sem relação com o anúncio. O dinheiro saiu em três segundos. O vizinho legítimo nunca recebeu nada.

Esse roteiro se repete todos os dias no Brasil: o Pix copia e cola é conveniente demais para revisar e vulnerável demais para adulterar. O código que você cola no app não é "só um texto" — é um payload estruturado que define para onde vai o dinheiro. Golpistas exploram exatamente o hábito de copiar e colar sem ler a tela de confirmação.

O que o Pix copia e cola realmente contém

Quando você cola aquele bloco enorme de caracteres no app do banco, o sistema decodifica um padrão chamado EMV QR Code — o mesmo usado em QR Codes estáticos e dinâmicos. Dentro desse payload estão, entre outros dados:

Identificador do recebedor (chave Pix ou dados bancários)
Valor da cobrança (quando pré-definido)
Nome do beneficiário
Cidade e descrição opcional
Identificador da transação (TXID)

O Banco Central padronizou o Pix para interoperabilidade entre todas as instituições participantes, coordenadas pela FEBRABAN. A padronização trouxe praticidade — e também uma superfície de ataque: basta alterar o trecho que aponta para a chave Pix de destino para desviar pagamentos inteiros.

A maioria dos usuários nunca vê essa estrutura. Vê apenas "Pix copiado com sucesso" e uma tela de confirmação que muitos atravessam em segundos. Os criminosos contam com essa pressa.

Copia e cola versus QR Code: mesma engenharia, vetores diferentes

O QR Code de restaurante e o código copia e cola compartilhado no WhatsApp são a mesma informação em formatos diferentes. Escanear ou colar leva ao mesmo destino. A diferença está no contexto de entrega:

| Formato | Onde o golpe acontece | Tática típica | |---------|----------------------|---------------| | QR Code impresso | Mesa de bar, balcão de lanchonete, feira | Adesivo por cima do código original | | Copia e cola | WhatsApp, Telegram, e-mail | Substituição em grupo ou mensagem paralela | | PDF anexo | E-mail de "boleto convertido" | Código dentro de documento que parece oficial |

Para QR Codes físicos, a ferramenta verificar QR Code do Desconfiei decodifica o payload e mostra beneficiário e valor antes de você pagar. Para códigos recebidos por mensagem, o mesmo princípio vale: decodificar antes de confirmar.

Golpe em grupo de WhatsApp: a substituição silenciosa

Grupos de compra coletiva, classificados de bairro e comunidades de marketplace informal são terreno fértil. O golpista entra no grupo — às vezes com perfil que imita morador local — e monitora negociações. Quando um vendedor legítimo publica seu Pix, o criminoso age em minutos.

Como a troca acontece na prática

Vendedor real anuncia produto e envia código copia e cola legítimo
Golpista envia código adulterado minutos depois, com texto de urgência ("só até hoje", "última peça")
Compradores apressados copiam o código mais recente — que é o falso
Dinheiro vai para conta laranja; vendedor legítimo não recebe e comprador não recebe produto

Em grupos grandes, a mensagem falsa se perde no fluxo de conversas. Ninguém percebe que existem dois códigos com beneficiários diferentes.

Sinais específicos de golpe em grupo

Código enviado por número que não participou da negociação anterior
Mensagem com tom de urgência desproporcional ao contexto do grupo
Beneficiário na tela de confirmação é pessoa física quando a venda deveria ser de loja com CNPJ
Vendedor insiste que "o código é o mesmo" sem querer confirmar por ligação
Código colado tem descrição que imita marca conhecida, mas titular é desconhecido

A defesa mais eficaz: ligar para o vendedor no número que você já tinha antes da negociação e pedir que ele confirme, verbalmente, o nome que aparecerá na tela do Pix. Se recusar ou inventar desculpa, abandone a compra.

Restaurantes, bares e comércio de rua: o QR colado por cima

Desde 2023, polícias de São Paulo, Rio de Janeiro e Recife documentaram dezenas de ocorrências de adesivos falsos sobre QR Codes de estabelecimentos. O cliente escaneia achando que paga o restaurante; o dinheiro vai para conta de intermediário.

Roteiro do golpe no balcão

Você termina o almoço, pede a conta e o garçom aponta para o QR na mesa. Escaneia, vê R$ 87,00 — valor que bate com o consumo — e confirma. Só descobre o golpe quando o estabelecimento cobra novamente porque não recebeu o pagamento.

O criminoso montou um QR com valor idêntico, mas chave Pix de titular diferente. Como o valor "fecha" com a conta, a vítima não desconfia.

Como pagar com segurança em estabelecimentos

Prefira pagar no caixa quando possível — peça para o atendente mostrar o QR diretamente do sistema dele
Na tela de confirmação, verifique se o nome do recebedor corresponde ao estabelecimento (razão social ou nome fantasia)
Desconfie de QR em adesivo laminado colado por cima de outro — levante a borda se parecer suspeito
Use verificar QR Code para decodificar o payload antes de autorizar valores altos
Em feiras e ambulantes, combine verbalmente o valor e confira o beneficiário na tela

Estabelecimentos sérios também podem se proteger: QR impresso com identificação visível, proteção anti-adesivo e conferência diária de que o código na mesa é o do sistema.

Anatomia de um código adulterado: o que revisar no app

Não é necessário entender programação para se proteger. Basta saber o que olhar na tela de confirmação do seu banco antes de digitar a senha.

Checklist de conferência antes de confirmar

[ ] Nome do recebedor bate com vendedor, loja ou prestador combinado?
[ ] CPF ou CNPJ parcial exibido corresponde ao documento que você viu no anúncio?
[ ] Valor é exatamente o negociado (incluindo centavos)?
[ ] Instituição do recebedor é banco conhecido (não necessariamente o mesmo do seu)?
[ ] Código veio do mesmo contato com quem você negociou?
[ ] Não há pressão para "pagar em 5 minutos" sem tempo de revisar?

Se qualquer item falhar, cancele e recomece a negociação por canal seguro.

Valor zerado: armadilha silenciosa

Códigos sem valor pré-definido pedem que você digite o montante. Isso é normal em doações e alguns serviços — mas em golpes, o criminoso envia código com beneficiário laranja e instrui: "digite R$ 500, é o valor que combinamos". Você digita o valor certo, mas o destino está errado.

Descrição enganosa no campo livre

O campo de descrição do Pix aceita texto livre. Golpistas escrevem "Pagamento Loja XYZ" ou "Pedido #4521" mesmo quando a chave pertence a terceiro sem relação com a loja. A descrição não valida o recebedor — só o nome e documento parcial na tela de confirmação importam.

Cenários reais documentados no Brasil

Compra de celular no OLX (Belo Horizonte, 2025): Comprador recebeu copia e cola por WhatsApp de perfil que imitava o vendedor. Beneficiário era pessoa física em Minas Gerais, não o CNPJ da loja do anúncio. Prejuízo de R$ 2.400. MED acionado em 35 minutos recuperou R$ 1.900.

Churrasco de empresa (Curitiba, 2025): Organizador colou código de vaquinha no grupo corporativo. Participante mal-intencionado substituiu por código próprio durante a noite. Doze colegas pagaram para conta errada antes da fraude ser descoberta.

Aluguel de temporada (Florianópolis, 2026): Inquilino recebeu copia e cola de "proprietária" encontrada em anúncio duplicado no Airbnb. Código legítimo teria CNPJ de imobiliária; o falso apontava para PF em outro estado. Vítima perdeu R$ 5.600 — MED sem saldo na conta destino.

O padrão é constante: código recebido fora de canal verificado + beneficiário que não corresponde ao negócio.

Passo a passo: pagar com copia e cola sem cair em golpe

1. Congele a negociação antes do pagamento

Tenha por escrito (WhatsApp serve): produto, valor, prazo de entrega e identificação do vendedor (nome completo, CPF ou CNPJ se possível). Sem isso, você não tem base para conferir a tela de confirmação.

2. Receba o código por canal autenticado

Peça o Pix copia e cola em conversa privada com o vendedor, não em grupo aberto. Se vier de terceiro, desconfie imediatamente.

3. Cole apenas no app do seu banco

Não use apps intermediários, sites de "gerar Pix" ou leitores desconhecidos. Abra o aplicativo oficial instalado pela loja de apps.

4. Leia a tela de confirmação por completo

Nome, documento parcial, valor, instituição. Leve os 30 segundos que faltam — golpistas dependem de você não ler.

5. Cruze com ferramentas de verificação

Para códigos longos ou QR Codes, use verificar QR Code. Para contexto adicional sobre a chave, consulte verificar Pix e veja se há denúncias associadas.

6. Confirme por ligação em valores altos

Acima de R$ 500 — ou qualquer valor que doa no seu orçamento — ligue para o vendedor e peça confirmação verbal do beneficiário. Grave mentalmente o nome que ele disser e compare com a tela.

7. Guarde evidência da tela de confirmação

Tire print mostrando beneficiário e valor antes de confirmar. Se der problema depois, isso diferencia pagamento consciente de fraude por código adulterado.

O que fazer se você pagou o código errado

A velocidade define se o dinheiro volta. O Pix é liquidação instantânea — não existe botão "desfazer" — mas o Mecanismo Especial de Devolução (MED) permite bloqueio cautelar quando ainda há saldo na conta do golpista.

Nos primeiros 30 minutos:

Pare de falar com o golpista
Ligue para seu banco pelo número do verso do cartão
Diga: "Paguei Pix para código adulterado. Quero acionar o MED."
Informe valor, hora, chave do recebedor e que o código veio adulterado
Anote protocolo e envie prints do código falso e da conversa

O artigo MED Pix: como funciona e qual o prazo de devolução detalha janelas de tempo, limites e o que o banco pode prometer. Registre B.O. na delegacia digital do seu estado no mesmo dia.

Avise o vendedor legítimo, se houver — ele pode estar sendo usado como fachada e outros compradores do grupo correm o mesmo risco.

Prevenção para vendedores e compradores frequentes

Se você vende: envie Pix copia e cola só em chat privado; inclua seu nome ou CNPJ na descrição; avise quando trocar de chave; nunca publique código em grupos onde qualquer um pode colar outro em seguida.

Se você compra: trate copia e cola como cheque — leia antes de assinar. Combine regra em família: ninguém paga código de grupo sem ligar para o vendedor.

Se você administra grupo: proíba envio de códigos Pix no grupo; direcione negociações para conversa privada; bana perfis que colam código após anúncio de terceiro.

Erros que transformam desconfiança em prejuízo

Copiar o código mais recente do grupo sem verificar quem enviou
Confiar na descrição do Pix em vez do nome do beneficiário
Pagar porque o valor bate — golpistas pré-definem valor correto de propósito
Usar app de banco em modo escuro apressado sem ler campos
Achar que "código longo e complicado" é prova de legitimidade
Ignorar divergência de pessoa física vs. CNPJ em compra empresarial

Leituras e ferramentas relacionadas

Ferramentas

Verificar QR Code Pix — decodifique payload antes de pagar
Verificar chave Pix — contexto e denúncias da comunidade
Guia completo: Golpes Pix

Golpes parecidos na biblioteca

Perguntas frequentes

O que é o Pix copia e cola e por que golpistas usam esse formato?

É um código textual (payload EMV) que o app bancário decodifica para preencher beneficiário, valor e identificador da cobrança. Golpistas preferem esse formato porque o pagador cola o código sem revisar cada campo — basta um caractere alterado no meio da string para redirecionar o pagamento para conta laranja, mantendo aparência legítima na mensagem de WhatsApp.

Como saber se o código copia e cola foi adulterado?

Cole no app do seu banco (não em app de terceiros) e compare nome do recebedor, CPF/CNPJ parcial e valor com o combinado. Desconfie se o beneficiário for pessoa física desconhecida em compra de loja, se o valor divergir ou se o código veio de número diferente do vendedor com quem você negociou. Use a ferramenta de verificação de QR Code do Desconfiei para analisar o payload antes de pagar.

Posso confiar no Pix copia e cola enviado em grupo de WhatsApp?

Somente se você confirmar a origem com o vendedor por canal independente — ligação para número que já tinha salvo, não o que apareceu no grupo. Golpistas entram em grupos de compra coletiva, observam negociações e substituem o código legítimo por um que aponta para conta deles. Sempre peça ao vendedor que confirme verbalmente o beneficiário que aparecerá na tela.

QR Code de restaurante pode ser golpe do copia e cola?

Sim. Criminosos colam adesivos por cima do QR oficial em mesas, balcões e cardápios. Ao escanear, você paga para conta de terceiro. Prefira pedir o código diretamente ao caixa, conferir o nome na tela de confirmação ou usar a verificação de QR Code antes de autorizar. Se o valor na tela não bater com a conta, cancele imediatamente.

O que fazer se já paguei um código copia e cola errado?

Ligue para o banco pelo número do verso do cartão nos primeiros minutos e solicite o Mecanismo Especial de Devolução (MED). Informe valor, hora, chave do recebedor e que o código foi adulterado. Registre B.O. online, preserve prints da conversa com o código falso e consulte o guia completo sobre MED Pix para entender prazos e limites da devolução.

Dá para editar um código copia e cola sem quebrar o formato?

Sim. O payload é uma string longa onde campos como chave Pix, valor e identificador ficam codificados. Softwares simples permitem trocar a chave de destino mantendo o restante visualmente igual na mensagem. Por isso a inspeção no app bancário é obrigatória — a aparência do texto colado não prova legitimidade.

Pix copia e cola com valor zerado é seguro?

Não necessariamente. Código sem valor fixo permite que o pagador digite qualquer quantia — útil em doações legítimas, mas perigoso se o golpista enviar código com beneficiário laranja e pedir que você informe o valor combinado. Mesmo com valor pré-preenchido, confira se bate com o negócio e se o nome do recebedor é o esperado.

Como proteger minha loja de ter o código substituído?

Envie o Pix copia e cola apenas em conversa privada com o cliente, nunca em grupos abertos. Inclua seu CNPJ ou nome completo na descrição e peça ao cliente que confirme o beneficiário antes de pagar. Para cobranças recorrentes, cadastre chave Pix no app do banco com identificação clara e avise clientes quando a chave mudar por escrito.

Conclusão: cole com os olhos abertos

O Pix copia e cola não é inimigo — é ferramenta que exige o mesmo cuidado de assinar um cheque ou conferir nota de R$ 100. Golpistas vencem quando você delega a verificação para a mensagem de WhatsApp em vez da tela do banco.

Da próxima vez: cole, leia beneficiário e valor, ligue se precisar, confirme. Dez segundos de atenção custam menos que meses tentando recuperar dinheiro pelo MED. Se já pagou errado, vá direto para cai no golpe do Pix. Para visão ampla, consulte o guia de golpes Pix.