UPI na Índia: golpes com QR Code e VPA e como a loja se protege

No UPI, o sistema de pagamentos instantâneos da Índia, escanear um QR Code ou digitar o UPI PIN sempre autoriza uma saída de dinheiro, nunca uma entrada. Quase todos os golpes documentados exploram essa regra. Para quem vende online, o ponto sensível é outro: a página de pagamento, onde o QR, o VPA e o link exibidos decidem para onde vai o dinheiro do cliente.

Como o UPI usa QR Code e VPA

O VPA (endereço virtual de pagamento, no formato nome@banco) identifica quem recebe sem expor o número da conta. O QR Code do UPI é apenas uma forma de transportar esse endereço. Pela especificação de links da NPCI, operadora do UPI, ele carrega um link upi://pay com o VPA e o nome do recebedor e, quando necessário, o valor e uma referência da transação. Em cobranças de comércio, a referência é obrigatória, e a especificação prevê QR dinâmicos, gerados para cada cobrança.

O aplicativo do pagador lê esses dados e abre a tela de pagamento já preenchida. O cliente confere, digita o PIN e o dinheiro sai na hora, sem volta simples. A escala torna o tema relevante para qualquer operação que venda para a Índia: em maio de 2026, o UPI processou 23,2 bilhões de transações, segundo dados da NPCI divulgados pela Inc42.

Os golpes mais documentados

O Reserve Bank of India (RBI) e as polícias indianas descrevem alguns padrões recorrentes:

• QR “para receber”: o golpista se passa por comprador, muitas vezes em sites de classificados, e envia um QR dizendo que é para o vendedor receber o pagamento. A polícia de Délhi descreve casos em que, depois do primeiro débito, o criminoso alega um erro e manda outro QR com o dobro do valor, repetindo o ciclo.
• Pedido de cobrança disfarçado: o UPI permite enviar uma solicitação de pagamento (collect request). Em alerta de janeiro de 2022, o RBI citou o uso desse recurso com mensagens do tipo “digite seu UPI PIN para receber dinheiro”. Aprovar é pagar.
• QR e VPA não autorizados: o mesmo alerta inclui QR Codes não autorizados entre as táticas. Um VPA parecido com o da loja, com um nome plausível, costuma bastar para que o pagador confirme sem desconfiar.

A orientação oficial é direta: segundo o RBI, receber dinheiro não exige escanear QR Code nem digitar PIN. Em março de 2022, o banco central também reuniu os golpes mais comuns em pagamentos digitais na cartilha BE(A)WARE.

Onde o comércio online entra nessa história

Na loja física, o risco clássico é o adesivo colado sobre o QR verdadeiro. No comércio online, o equivalente é mais discreto. O QR é gerado pelo sistema da loja ou do provedor de pagamento, mas é exibido no navegador do comprador, junto com tudo o que a página carrega: plugins, ferramentas de marketing, chat, scripts de terceiros. No celular, muitas lojas oferecem ainda um botão para pagar com o aplicativo UPI, que abre o app a partir do mesmo link upi://pay.

Se um código malicioso roda nessa página, ele pode trocar a imagem do QR, o VPA exibido em texto ou o destino do botão. O comprador paga o valor certo, vê um nome plausível no aplicativo e confirma. A loja não recebe, o pedido fica pendente e o cliente tem certeza de que pagou. E pagou, só que para outra conta.

No mundo dos cartões, essa fragilidade já é tratada por regra: o PCI DSS, nos requisitos 6.4.3 e 11.6.1, exige autorizar e inventariar os scripts da página de pagamento e detectar alterações não autorizadas no que chega ao navegador do cliente. Em março de 2025, o PCI Security Standards Council publicou um guia específico sobre esses dois requisitos. A lógica vale igualmente para o QR do UPI: o que conta é o que o comprador vê.

Checklist para quem vende com UPI

1. Use QR dinâmico por pedido, com valor fixo e referência única, e concilie cada pagamento por essa referência.
2. Mostre o VPA e o nome do recebedor em texto ao lado do QR e oriente o cliente a conferir se o nome no aplicativo é o da sua empresa.
3. Nunca peça ao cliente que escaneie um QR ou aprove uma cobrança para receber reembolso. Deixe isso claro na política de trocas, porque golpistas se passam pelo atendimento de lojas.
4. Reduza os scripts no checkout e mantenha plataforma, tema e plugins atualizados, removendo o que não é usado.
5. Monitore a página de pagamento em produção, comparando o QR, o VPA e o link exibidos com os que o seu sistema emitiu.
6. Trate “paguei e o pedido não foi aprovado” como alerta de segurança, e não apenas como chamado de suporte.
7. Saiba para onde encaminhar vítimas: o governo indiano mantém o portal cybercrime.gov.in e a linha 1930 para denúncias de fraude financeira.

Para ver o que pode ser trocado em uma cobrança UPI e o que fica fora do alcance de qualquer proteção na página, consulte a proteção para pagamentos com UPI.

O Proteside confere, no navegador do comprador, se o QR, o VPA e o link do UPI exibidos no checkout são exatamente os que a sua loja emitiu e bloqueia qualquer troca antes da confirmação, com alerta para você e evidência para o PCI DSS. Funciona com qualquer plataforma e provedor de pagamento. Experimente grátis por 14 dias.