PayNow e SGQR: como funciona o QR unificado e onde mora o risco

O SGQR é o QR Code unificado de Singapura: um único selo reúne vários esquemas de pagamento, e o PayNow é o mais aceito entre eles. Os riscos documentados pelas autoridades vêm de três frentes: QR adulterado, QR enviado por golpistas durante uma negociação e sites falsos. A defesa central é sempre a mesma: conferir o nome do recebedor antes de confirmar. No comércio online, o QR exibido no checkout faz o papel do selo e precisa da mesma proteção.

Como funciona o QR unificado

O SGQR foi lançado em 17 de setembro de 2018 pela Autoridade Monetária de Singapura (MAS) e pela IMDA, a agência de infocomunicação do país. A ideia era simples: em vez de um balcão coberto de adesivos de cada carteira e banco, o comerciante exibe um selo só, com os logotipos dos esquemas que aceita. No lançamento, 27 esquemas aderiram, entre eles PayNow, NETS e GrabPay.

O PayNow, serviço de transferência instantânea dos bancos, passou a seguir a especificação do SGQR em 11 de novembro de 2019, segundo a Associação de Bancos de Singapura (ABS). Para receber, a empresa registra seu UEN, o número único de registro empresarial, como identificador PayNow e vincula esse identificador ao selo. O cliente escaneia com o aplicativo do próprio banco, confere o nome do comerciante, informa o valor e paga. A oferta básica é um QR estático; QR dinâmicos, com valor e referência por cobrança, podem ser contratados com o banco.

A adoção é ampla. Em resposta parlamentar de outubro de 2022, o governo informou cerca de 5,5 milhões de contas bancárias registradas no PayNow e mais de 210 mil comerciantes aceitando SGQR, o que representava mais de 90% do total.

Onde estão os riscos documentados

• QR adulterado: em maio de 2023, a Agência de Cibersegurança (CSA) e a Polícia de Singapura (SPF) apontaram, em alerta conjunto, a adulteração de QR Codes exibidos por empresas para desviar pagamentos à conta do golpista. O mesmo alerta cita QR que levam a sites falsos e a downloads de programas maliciosos.
• QR enviado pelo golpista: em junho de 2026, a SPF alertou para golpes na venda de ingressos de shows em redes sociais, com ao menos 14 casos; as vítimas eram instruídas a pagar por PayNow ou escaneando um QR do PayNow enviado pelo falso vendedor.
• Site falso do PayNow: em dezembro de 2024, a polícia alertou para mensagens sobre um suposto certificado do PayNow prestes a expirar. O link levava a uma página que pedia dados de cartão. O PayNow não tem site para esse tipo de cadastro.

Vale a nuance: segundo a mesma resposta parlamentar, golpes com QR falso e com clientes que fingiam ter pago somaram 20 casos de 2020 ao primeiro semestre de 2022, e não eram considerados prevalentes. O risco existe, mas ainda pode ser contido com bons hábitos dos dois lados.

Por que o checkout online é o novo selo

A orientação oficial ao consumidor gira em torno de um gesto: conferir se o nome do comerciante que aparece no aplicativo do banco é o mesmo impresso no selo. As regras do SGQR exigem ainda que os credenciadores ensinem os comerciantes a verificar pagamentos e a proteger o selo contra fraude.

Na loja virtual, não há selo físico. O QR do PayNow é gerado pelo sistema da loja ou do provedor e exibido no navegador do comprador, junto com tudo o que a página carrega: plugins, ferramentas de marketing, chat, scripts de terceiros. Um código malicioso nessa página pode substituir o QR por outro válido, no mesmo valor, apontando para um UEN registrado com nome plausível. O comprador confere um nome que parece certo e confirma. A loja não recebe, e o cliente tem certeza de que pagou.

No mundo dos cartões, esse ponto cego já é tratado por regra: o PCI DSS, nos requisitos 6.4.3 e 11.6.1, exige controlar os scripts da página de pagamento e detectar alterações não autorizadas no que chega ao navegador. O PCI Security Standards Council publicou orientação específica sobre esses dois requisitos em março de 2025. A mesma lógica vale para o QR do PayNow.

Checklist para quem recebe PayNow online

1. Use QR dinâmico por pedido, com valor e referência, e concilie cada crédito por essa referência.
2. Mostre em texto o nome registrado e o UEN ao lado do QR e peça ao cliente que confira se o nome no aplicativo do banco é exatamente esse.
3. Libere o pedido só com a confirmação do pagamento no banco ou no provedor, nunca por captura de tela. A MAS recomenda checar a notificação de pagamento bem-sucedido antes de entregar a mercadoria.
4. Avise que a loja nunca envia QR por mensagem ou rede social e nunca pede dados de cartão para “ativar” o PayNow.
5. Reduza os scripts no checkout e mantenha plataforma, tema e plugins atualizados, removendo o que não é usado.
6. Monitore a página de pagamento em produção, comparando o QR exibido com o que o seu sistema emitiu.
7. Ao suspeitar de fraude, acione o credenciador imediatamente, como orienta a MAS, e indique aos clientes a linha ScamShield, 1799.

Para ver o que pode ser trocado em uma cobrança PayNow e o que fica fora do alcance de qualquer proteção na página, consulte a proteção para PayNow e SGQR.

O Proteside confere, no navegador do comprador, se o SGQR, o identificador PayNow e o valor exibidos no checkout são exatamente os que a sua loja emitiu e bloqueia qualquer troca antes da confirmação, com alerta para você e evidência para o PCI DSS. Funciona com qualquer plataforma e provedor de pagamento. Experimente grátis por 14 dias.