Golpes com QR Code na Ásia: 6 lições para o e-commerce

Na Ásia, o QR Code virou a forma padrão de pagar na hora e, por isso, um dos alvos preferidos de golpistas. Entre 2019 e 2026, polícias e reguladores de Singapura, Malásia, Tailândia, Filipinas, Hong Kong e Índia descreveram os mesmos quatro padrões: QR trocado ou colado por cima do original, páginas de pagamento falsas, QR que tira dinheiro de quem acha que vai receber e contas de passagem para dispersar o valor. Para quem vende online nesses mercados, a lição é direta: o ponto mais frágil é o instante em que o comprador vê o QR e confirma o pagamento, e esse instante acontece na página da loja.

Por que o QR instantâneo virou alvo

PayNow e SGQR em Singapura, DuitNow na Malásia, PromptPay na Tailândia, QR Ph nas Filipinas, FPS em Hong Kong e UPI na Índia seguem a mesma lógica do Pix: o pagador escaneia um código, confere o valor no aplicativo do banco ou da carteira digital e autoriza o envio. O dinheiro sai na hora. Não há maquininha, bandeira de cartão nem estorno simples no meio do caminho.

Essa simplicidade é a força desses sistemas e também o que os golpistas exploram. Quem controla o QR controla o destino do dinheiro. E, como é o próprio pagador quem autoriza a transferência, o pagamento desviado parece, para o banco, uma operação normal.

Quatro padrões que se repetem

1. QR trocado ou colado por cima. É o golpe mais citado. Em maio de 2023, a Agência de Cibersegurança de Singapura (CSA) e a polícia do país (SPF) alertaram em conjunto que códigos de pagamento de estabelecimentos podem ser adulterados para mandar o dinheiro ao golpista, e pediram atenção a códigos colados sobre o original. Nas Filipinas, segundo a imprensa local, um representante do banco central (BSP) repetiu o alerta em abril de 2026, citando adesivos sobre o QR do comerciante. Em julho de 2026, a polícia nacional filipina (PNP) foi além do balcão físico: descreveu a troca do QR de pagamento de vendedores e anunciou ação conjunta com os ministérios de tecnologia (DICT) e de comércio (DTI) contra quem distribui códigos fraudulentos, com atenção especial às plataformas de venda online.

2. Páginas de pagamento falsas. O QR também serve de porta para sites que imitam bancos, lojas e gateways. Em setembro de 2026, o diretor do departamento de crimes comerciais da polícia da Malásia, Rusdi Mohd Isa, listou entre os métodos em uso os falsos gateways de pagamento e os QR de pagamento falsos que desviam valores para contas das quadrilhas. O BSP filipino orienta conferir o endereço antes de abrir o link e não digitar dados financeiros em páginas acessadas por QR.

3. O QR que cobra em vez de pagar. Aqui o alvo é o vendedor. O golpista se passa por comprador, diz que vai pagar e envia um QR ou link para o lojista “receber”. Ao escanear e autorizar, quem paga é a vítima. A polícia malaia descreveu exatamente esse roteiro contra vendedores online e lembrou que, no DuitNow QR, quem recebe só precisa mostrar o próprio código. Na Índia, o banco central (RBI) avisou em 2022 que receber dinheiro não exige escanear QR nem digitar o PIN, e que golpistas abusam da função de cobrança do UPI com mensagens pedindo o PIN para “receber”. Na Tailândia, reportagem da Thai PBS baseada em orientações da polícia resumiu a regra: quem escaneia é quem paga.

4. Contas de passagem. Nenhum desses golpes funciona sem uma conta para receber e espalhar o dinheiro depressa. Por isso, os mercados investem em consulta prévia. Na Malásia, a polícia mantém o portal SemakMule, que permite checar contas bancárias, telefones e nomes de empresas. Em Hong Kong, a autoridade monetária (HKMA) lançou em novembro de 2023 um alerta no FPS baseado no Scameter, ferramenta da polícia: 44 bancos e operadoras de carteira digital passaram a avisar o usuário quando o identificador do recebedor (telefone, e-mail ou ID do FPS) está marcado como de alto risco.

O que as autoridades pedem

As recomendações convergem em poucos pontos:

• Conferir o nome do recebedor e o valor no aplicativo antes de confirmar (Singapura, Hong Kong, Tailândia).
• Desconfiar de QR recebido por mensagem, rede social ou de origem desconhecida (Singapura, Malásia, Filipinas).
• Nunca escanear QR nem digitar PIN, senha ou código de uso único para receber (Malásia, Índia, Tailândia).
• Inspecionar o código físico em busca de adesivos sobre o original (Singapura, Filipinas).
• Do lado das instituições, Hong Kong já registrava em 2019, em resposta oficial ao Conselho Legislativo, que bancos e carteiras devem verificar se o QR é genuíno e mostrar o nome do recebedor antes do pagamento.

Repare que quase tudo depende de o comprador conferir alguma coisa. Ajuda, mas não basta quando a troca é bem-feita.

O paralelo com o Pix: a troca no checkout

No Brasil, a mesma ideia já saiu do adesivo e foi para o site. Em setembro de 2026, a Kaspersky revelou uma campanha que troca o QR do Pix e o código copia-e-cola na página de checkout de lojas legítimas, no momento em que o cliente escolhe pagar por Pix. Foram identificadas 90 lojas de pequeno e médio porte, com um ponto em comum: a plataforma Magento sem manutenção. A ação estava ativa desde junho de 2025. Para o lojista, o pedido aparece como abandonado ou pendente; o cliente só percebe dias depois, quando o valor já passou por contas de laranjas, o que dificulta a devolução pelo mecanismo do Banco Central (MED). Veja como esse ataque funciona na página sobre proteção do Pix no checkout.

Nada impede que o mesmo tipo de código faça isso com um QR do PayNow, do DuitNow ou do UPI: a PNP filipina já fala em QR de vendedores online trocados. A diferença é que, numa loja virtual, ninguém consegue procurar o adesivo: o QR falso é gerado na própria página, com o valor certo e aparência idêntica.

Checklist para quem vende nesses mercados

1. Gere um QR dinâmico por pedido, com valor e referência, em vez de um código fixo reaproveitado.
2. Mostre na página o nome oficial que aparecerá no aplicativo do comprador e peça que ele confira antes de confirmar.
3. Concilie automaticamente cada pagamento com o pedido e crie alerta para pedidos parados em “aguardando pagamento”.
4. Enxugue o checkout: menos plugins e scripts de terceiros, plataforma e extensões atualizadas, acesso administrativo com dois fatores.
5. Monitore a página de pagamento em produção, como o comprador a vê, e não só o código no servidor.
6. Oriente equipe e clientes: a loja nunca pede que alguém escaneie um QR ou digite PIN para receber reembolso.
7. Use os canais locais de consulta e denúncia, como o SemakMule e a linha 997 na Malásia ou o Scameter em Hong Kong, e registre ocorrências rápido.
8. Trate reclamações do tipo “paguei e não foi aprovado” como possível sinal de troca, não apenas como atraso.

Em todos esses mercados, o golpe vence no mesmo instante: quando o comprador vê o QR e autoriza. O Proteside protege esse momento na página da loja: confere, no navegador do comprador, se o QR exibido e o código copiado (PayNow/SGQR, DuitNow, PromptPay, QR Ph, FPS, UPI ou Pix) são exatamente os que a loja emitiu, bloqueia a troca antes da confirmação e avisa você. Experimente grátis por 14 dias.