FPS e HKQR em Hong Kong: golpes com QR e boas práticas

O FPS (Faster Payment System, ou 轉數快) é o sistema de pagamentos instantâneos de Hong Kong: transfere dinheiro entre bancos e carteiras digitais em segundos, 24 horas por dia, usando um telefone, um e-mail, um FPS ID ou um QR code no lugar dos dados bancários. Para a loja online, isso quer dizer que o QR ou o identificador exibido na página de pagamento define quem recebe. Os golpes com QR exploram justamente esse ponto. E, como a liquidação é imediata, a defesa precisa acontecer antes de o comprador confirmar.

Como funcionam o FPS e o HKQR

A Autoridade Monetária de Hong Kong (HKMA) lançou o FPS em setembro de 2018, com transferências a partir do dia 30 daquele mês. O sistema conecta bancos e operadores de carteiras digitais (as stored value facilities) numa única plataforma, aceita dólares de Hong Kong e renminbi e funciona sem pausa. Na estreia, eram 21 bancos e 10 carteiras participantes. Quem quer receber cadastra um telefone, um e-mail ou um FPS ID; quem paga não precisa de cadastro.

Junto com o FPS, a HKMA publicou o padrão de QR comum para pagamentos de varejo e o aplicativo gratuito HKQR, desenvolvido pela câmara de compensação interbancária HKICL. Ele combina QR de diferentes provedores num único código, para que o pequeno comerciante não precise exibir vários QR no caixa.

O que Hong Kong já faz contra golpes no FPS

Em novembro de 2023, a HKMA, a polícia e a HKICL lançaram o alerta de identificador suspeito do FPS. Antes de uma transferência, o aplicativo avisa o pagador se o telefone, o e-mail ou o FPS ID do recebedor estiver marcado como “alto risco” no Scameter, o buscador antifraude da polícia. Na estreia, 44 bancos e carteiras aderiram. Em agosto de 2024 o alerta foi ampliado para transferências por número de conta, e até o fim de junho daquele ano já tinham sido emitidos mais de 655 mil avisos, cerca de 3 mil por dia.

A polícia também alerta especificamente para os QR codes. O Centro de Coordenação Antifraude (ADCC) lembra que mensagens de phishing costumam trazer links, QR codes ou anexos que instalam programas maliciosos, e recomenda conferir contas de destino no Scameter antes de pagar.

O ponto cego: a página de pagamento

O alerta do FPS depende de o identificador do golpista já ter sido denunciado. Uma conta de passagem nova, ainda sem histórico, pode não disparar nada. E no comércio online existe uma forma de desvio que nenhum aviso de banco enxerga: a troca do QR dentro da própria página de pagamento.

Funciona assim: um script malicioso carregado no checkout (por um plugin vulnerável, um serviço de terceiros comprometido ou uma invasão) substitui o HKQR ou o FPS ID exibido por outro, válido, no mesmo valor. O comprador escaneia, vê um nome de recebedor qualquer e confirma. O cenário já foi documentado com outro sistema instantâneo: em setembro de 2026, a Kaspersky divulgou uma campanha que trocava o QR do Pix na página de pagamento de 90 pequenas e médias lojas virtuais no Brasil, enquanto o sistema da loja mostrava o pedido como abandonado ou pendente.

Boas práticas para o comércio online

• Gere um QR dinâmico por pedido, com valor e referência, e evite exibir um FPS ID fixo como única forma de pagamento.
• Mostre o nome do recebedor que aparecerá no app ao lado do QR e oriente o cliente a conferir antes de confirmar.
• Enxugue a página de pagamento: só os scripts indispensáveis, com revisão periódica de quem carrega o quê.
• Mantenha plataforma, tema e extensões atualizados, removendo o que não é usado.
• Confirme pedidos pelo crédito no banco ou no provedor, nunca por captura de tela enviada pelo comprador.
• Trate “paguei e o pedido não entrou” como incidente de segurança, verificando se o QR exibido foi alterado.
• Monitore a página em produção, conferindo o que o comprador realmente vê.

Se algo der errado

Oriente o cliente a contatar imediatamente o banco ou a carteira de origem. Para dúvidas, a linha antifraude 18222 do ADCC atende 24 horas, mas apenas para orientação: suspeitas de golpe devem ser registradas numa delegacia, e emergências, pelo 999. Do lado da loja, registre o pedido, o horário e o QR exibido, e acione o seu provedor de pagamento.

Os alertas do FPS protegem a transferência; a integridade do que a sua página mostra é responsabilidade da loja. O Proteside verifica, no navegador do comprador, se o HKQR e o FPS ID exibidos são exatamente os emitidos, bloqueia a troca antes da confirmação e avisa a sua equipe. Conheça a proteção para FPS e HKQR. Teste grátis por 14 dias, com qualquer plataforma e provedor.