Pix Copia e Cola alterado: como a troca acontece e como evitar

O Pix Copia e Cola adulterado é um código de pagamento trocado no caminho entre a página da loja e o aplicativo do banco. O cliente toca em “copiar”, cola no app e vê o valor certo, mas o texto já não é o que a loja emitiu, e o dinheiro vai para outra conta. A defesa tem dois lados: a loja garantir que o código exibido e copiado é exatamente o que ela gerou, e o cliente conferir o nome e o CNPJ do recebedor antes de confirmar.

O que é o Pix Copia e Cola

Pelas regras do Banco Central, o Copia e Cola existe para os casos em que ler o QR Code é impraticável, como quando a compra é feita no navegador do próprio celular. O texto copiado precisa ser exatamente a mesma sequência de caracteres que um leitor extrairia do QR Code, e a função vale para QR estático, dinâmico e composto.

Em outras palavras, o texto copiado é a instrução de pagamento. Ele diz para quem vai o dinheiro, seja diretamente, com a chave Pix, seja indiretamente, com um endereço que leva aos dados da cobrança na instituição do recebedor. Quem consegue mudar esse texto muda o destino do pagamento sem mexer em mais nada.

Onde o conteúdo copiado pode ser trocado

Entre o toque em “copiar” e o “confirmar” no banco, o código passa por três pontos vulneráveis:

1. Na página da loja. O botão de copiar é comandado por código que roda no navegador do cliente. Se um script malicioso estiver na página, vindo de um plugin comprometido, de um serviço de terceiro ou de uma invasão, ele pode trocar o QR exibido e o texto entregue à área de transferência. A loja continua no ar, com aparência normal.
2. No dispositivo do cliente. Programas maliciosos instalados no computador podem vigiar a área de transferência e substituir o que foi copiado. Em 2023, a Kaspersky descreveu o GoPIX, que se espalhava por anúncios falsos de “WhatsApp Web” e trocava códigos de pagamento Pix copiados por outros, fornecidos por um servidor dos criminosos.
3. No canal de envio. Quando o código chega por mensagem ou e-mail, uma conta invadida ou uma mensagem falsa pode entregar um código diferente do original.

Nos três casos, o aplicativo do banco recebe um código válido. Nada no código em si denuncia que ele foi trocado.

Por que o cliente quase não percebe

O app do banco mostra o valor, e o golpista usa o mesmo valor da compra. O que muda é o recebedor. O próprio manual do Banco Central traz como exemplo uma tela de confirmação com um alerta para verificar os dados do pagamento, incluindo nome e CNPJ de quem recebe. É essa linha que denuncia a troca, mas ela costuma ser lida às pressas. O CERT.br resume a regra para o consumidor: “confirme primeiro, transfira depois”.

Para a loja, o prejuízo vem em cadeia: o pedido não é pago, o cliente acredita que pagou, e a reclamação chega para quem não recebeu nada.

Como a loja se protege

• Saiba o que roda no checkout. Liste os scripts carregados na página de pagamento, remova o que não é necessário e mantenha plataforma, tema e plugins atualizados.
• Gere uma cobrança por pedido. Use QR dinâmico com identificador único e prazo de validade, e só libere o pedido quando o Pix daquele identificador for creditado.
• Diga ao cliente quem vai aparecer no app. Mostre, ao lado do QR, o nome e o CNPJ que o banco exibirá na confirmação. Se aparecer outro, o cliente sabe que deve parar.
• Confira o que é exibido e copiado. A proteção mais direta compara, no navegador do comprador, o QR e o texto copiado com a cobrança que a loja emitiu, e bloqueia a divergência antes do pagamento.
• Trate reclamações como alarme. Vários “paguei e o pedido não foi aprovado” em pouco tempo pedem uma verificação imediata da página de pagamento.

Como o cliente se protege

• Pague só dentro do site ou app oficial da loja. A Febraban recomenda conferir todos os dados do pagamento e se a loja é mesmo quem vai receber.
• Antes de confirmar, leia o nome e o CNPJ do recebedor, não apenas o valor. Se não corresponder à loja, cancele.
• Desconfie de códigos recebidos por mensagem e não instale programas de origem duvidosa, inclusive os oferecidos em anúncios.
• Se pagou um código alterado, conteste o Pix no app ou nos canais oficiais do banco o quanto antes. O CERT.br inclui o pagamento de QR Code falso ou alterado entre as situações do Mecanismo Especial de Devolução (MED). Segundo o Procon-SP, o app deve oferecer a opção de contestação ao selecionar o Pix, mas a devolução depende da comprovação da fraude e de haver saldo na conta que recebeu.

Em setembro de 2026, a Kaspersky confirmou 90 lojas virtuais brasileiras com código malicioso que alterava o Pix Copia e Cola e o QR no checkout. O caso está detalhado no guia do golpe do Pix no checkout. Se você já pagou um código alterado, veja Pix errado em compra online: engano ou golpe.

Para ver como a troca do QR e do Copia e Cola afeta lojas virtuais, veja a página de proteção do Pix no checkout.

O ponto cego dessa fraude é o navegador do comprador, que nem o banco nem o gateway enxergam. O Proteside confere ali, no momento do pagamento, se o QR e o código copiado são exatamente os que a sua loja emitiu, e bloqueia a troca antes da confirmação. Você pode testar por 14 dias grátis.