PromptPay na Tailândia: golpes com QR e boas práticas para lojas

No PromptPay, quem escaneia o QR Code paga, sempre. Por isso, qualquer pedido para escanear um QR “para receber” um reembolso é sinal de golpe, como alertam a polícia tailandesa e a emissora pública Thai PBS. Para a loja online, o ponto crítico é o QR exibido no checkout: ele define a conta que recebe, e o nome que o aplicativo do banco mostra antes da confirmação é a última barreira do cliente.

Como funcionam o PromptPay e o Thai QR

O PromptPay é a infraestrutura de pagamentos instantâneos promovida pelo Banco da Tailândia (BOT), em operação desde 2016. Em vez do número da conta, o recebedor pode ser identificado pelo número da carteira de identidade, pelo celular ou por outro número registrado. Cada número fica vinculado a uma única conta.

O QR segue o Thai QR Code Payment Standard, definido em diretriz do BOT de abril de 2019 com base no padrão internacional de QR para pagamentos da EMVCo. Dentro do código, campos específicos indicam o tipo de recebimento: um deles serve a transferências para identificadores PromptPay, como celular, documento ou conta; outro é reservado a empresas registradas com Biller ID ou Merchant ID, que passam por verificação do prestador de serviço antes de começar a receber. Outros campos levam o valor e a referência da cobrança.

A mesma diretriz exige que os prestadores eduquem os usuários sobre QR falsificados, ofereçam notificação do pagamento em tempo real e permitam conferir os dados do QR (por exemplo, verificando e exibindo o nome do recebedor ou do comerciante a partir do sistema). É esse nome que o cliente vê antes de confirmar.

Os golpes documentados

• QR “para receber” reembolso: em outubro de 2025, a Thai PBS divulgou alerta do Escritório Central de Investigação (CIB) sobre golpistas que ligam para clientes fingindo ser a loja onde eles compraram, com dados corretos da compra, e oferecem reembolso por um lote supostamente defeituoso. O QR enviado, na verdade, transfere dinheiro para uma conta no exterior, com conversão de moeda imediata, o que dificulta o rastreio.
• Papéis invertidos: em setembro de 2024, a Thai PBS, com base em orientações da polícia, reforçou que o QR do PromptPay serve para receber e que quem escaneia paga. Golpistas afirmam o contrário para induzir a vítima a escanear.
• Contas de passagem: a mesma reportagem aponta como sinais de alerta vendedores online cujo nome da conta não corresponde ao recebedor esperado e contas abertas com documentos de terceiros.

O primeiro caso merece a atenção de qualquer lojista: o golpista usa o nome e os dados da sua loja. Mesmo sem nenhuma falha no seu sistema, é a sua marca que sai arranhada.

Onde está o risco no checkout online

Na loja virtual, o QR é gerado pelo sistema da loja ou do provedor de pagamento, mas exibido no navegador do comprador, ao lado de tudo o que a página carrega: plugins, ferramentas de marketing, chat, scripts de terceiros. Um código malicioso nessa página pode substituir o QR de cobrança da loja por outro QR válido, no mesmo valor, apontando para uma conta de passagem. O comprador vê um nome que parece plausível e confirma. A loja não recebe, e o cliente tem certeza de que pagou.

No mundo dos cartões, esse ponto cego já é tratado por regra: o PCI DSS, nos requisitos 6.4.3 e 11.6.1, exige controlar os scripts da página de pagamento e detectar alterações não autorizadas no que chega ao navegador. O PCI Security Standards Council publicou orientação específica sobre esses dois requisitos em março de 2025. A lógica vale igualmente para o QR do PromptPay.

Boas práticas para lojas online

1. Receba com QR de comerciante, vinculado ao Biller ID ou Merchant ID da empresa, e não com o PromptPay pessoal de um sócio ou funcionário.
2. Gere um QR por pedido, com valor e referência, e concilie cada crédito por essa referência.
3. Mostre em texto o nome que aparecerá no aplicativo do banco e peça ao cliente que confira antes de confirmar.
4. Libere o pedido só com a confirmação do banco ou do provedor, nunca por comprovante enviado pelo cliente.
5. Deixe claro que a loja nunca pede ao cliente que escaneie um QR para receber reembolso e que devoluções voltam pelo mesmo meio do pagamento.
6. Reduza os scripts no checkout e mantenha plataforma, tema e plugins atualizados, removendo o que não é usado.
7. Monitore a página de pagamento em produção, comparando o QR exibido com o que o seu sistema emitiu, e trate “paguei e o pedido não saiu” como alerta de segurança.
8. Saiba para onde encaminhar vítimas: segundo o alerta do CIB, a polícia tailandesa recebe denúncias online em thaipoliceonline.go.th e pela linha 1441.

Para ver o que pode ser trocado em uma cobrança PromptPay e o que fica fora do alcance de qualquer proteção na página, consulte a proteção para pagamentos com PromptPay.

O Proteside confere, no navegador do comprador, se o QR, o PromptPay ID e o valor exibidos no checkout são exatamente os que a sua loja emitiu e bloqueia qualquer troca antes da confirmação, com alerta para você e evidência para o PCI DSS. Funciona com qualquer plataforma e provedor de pagamento. Experimente grátis por 14 dias.