QR Ph nas Filipinas: o QR nacional e os golpes em lojas online

O QR Ph é o padrão nacional de QR para pagamentos nas Filipinas: um único formato de código que qualquer banco ou carteira digital participante consegue ler, com liquidação em tempo real. Isso simplificou a vida de lojistas e compradores. E também deu aos golpistas um alvo único. Os golpes mais comuns trocam o QR legítimo por outro, colado por cima no balcão ou substituído na própria página de pagamento da loja online. A seguir, como o padrão funciona, como esses golpes operam e o que fazer para não cair neles.

O que é o QR Ph

O Bangko Sentral ng Pilipinas (BSP) adotou o padrão nacional de QR por meio da Circular nº 1055, de outubro de 2019. Quem desenvolveu o QR Ph foi a Philippine Payments Management, Inc. (PPMI), entidade de gestão do sistema de pagamentos credenciada pelo BSP, com base no padrão internacional EMV. A ideia era acabar com a fragmentação: em vez de um QR para cada banco ou carteira, um código interoperável para todos.

Em 2023, o BSP tornou a adoção obrigatória: desde 1º de julho daquele ano, os provedores de pagamento que oferecem serviços com QR precisam usar e exibir o QR Ph em seus canais de internet e mobile, e os códigos proprietários foram desativados. Os casos de uso prioritários são pagamentos entre pessoas e de pessoas para lojistas. Na ponta do comércio, os pagamentos com QR Ph correm pelo InstaPay, com liquidação em tempo real, 24 horas por dia, e um mesmo QR de lojista funciona com mais de 40 bancos e carteiras participantes, segundo o provedor PayMongo.

Os golpes que miram compradores

Em abril de 2026, o BSP voltou a alertar a população sobre o quishing, o golpe com QR malicioso. Num evento em Bohol, o técnico do BSP Gregorio Baccay III explicou que os criminosos usam QR adulterados para levar a vítima a sites falsos, instalar programas maliciosos ou induzi-la a enviar dinheiro. Um dos métodos citados é o mais simples de todos: colar o próprio QR sobre o código legítimo de um estabelecimento, desviando os pagamentos dos clientes.

As recomendações do BSP para o consumidor são diretas: escanear só códigos de fontes confiáveis, procurar sinais de adulteração (como um adesivo por cima do original), conferir o endereço antes de abrir um link vindo de QR e não digitar dados financeiros em sites acessados por QR.

Quando a troca acontece dentro da loja online

No e-commerce, o QR não está num cartaz: é gerado pela página de pagamento e exibido no navegador do comprador. Isso abre uma variante mais difícil de perceber. Um script malicioso que roda na página (vindo de um plugin vulnerável, de um serviço de terceiros comprometido ou de uma invasão) pode trocar o QR legítimo por outro QR Ph válido, no mesmo valor. O comprador escaneia, paga e só descobre o problema quando o pedido não é confirmado.

Esse cenário já foi documentado com outro sistema de pagamento instantâneo. Em setembro de 2026, a Kaspersky divulgou uma campanha que trocava o QR e o código copia-e-cola do Pix na página de pagamento de 90 pequenas e médias lojas virtuais no Brasil; para a loja, o pedido aparecia como abandonado ou pendente. A lógica vale para qualquer QR exibido numa página web, inclusive o QR Ph.

Checklist para lojas que aceitam QR Ph

• Use QR dinâmico por pedido, com valor e referência, em vez de um QR estático reaproveitado. Fica mais fácil conciliar e notar divergências.
• Informe o nome do recebedor que o cliente verá no app ao lado do QR e peça para conferir antes de confirmar.
• Enxugue a página de pagamento: mantenha só os scripts indispensáveis e revise com frequência quem carrega o quê.
• Atualize plataforma, tema e plugins e remova o que não usa.
• Libere pedidos pelo crédito confirmado no banco, na carteira ou no provedor, nunca por captura de tela enviada pelo cliente.
• Trate "paguei e não confirmou" como possível incidente, investigando se o QR exibido foi alterado.
• Monitore a página em produção, conferindo o que o comprador realmente vê.

Se o desvio acontecer

Aja rápido: oriente o cliente a falar imediatamente com o banco ou a carteira de origem, e acione o seu provedor de pagamento com os dados do pedido. Desde julho de 2024, a Lei de Combate a Golpes em Contas Financeiras (AFASA, Republic Act nº 12010) pune quem atua como "mula" para receber dinheiro de golpes e prevê que as instituições possam reter valores em disputa enquanto verificam a transação, além de dar ao BSP poderes para investigar contas ligadas a fraudes. Quanto mais cedo a contestação, maior a chance de os valores ainda estarem retidos.

As medidas acima diminuem a superfície de ataque, mas a troca dentro da página só é barrada conferindo, na tela do comprador, se o QR exibido é o que a loja emitiu. É o que o Proteside faz no momento do pagamento: verifica o QR Ph, bloqueia a troca antes da confirmação e alerta a loja. Veja a proteção para QR Ph. Teste grátis por 14 dias, com a plataforma e o provedor que você já usa.