Transferencias 3.0: o QR interoperável e o risco de adulteração

No Transferencias 3.0, programa do Banco Central da República Argentina (BCRA), qualquer carteira digital ou app bancário consegue ler qualquer QR de pagamento, e o comércio recebe por transferência imediata e irrevogável. Essa interoperabilidade é a força do sistema e também o seu ponto de atenção no checkout: se o QR exibido na página da loja for adulterado, qualquer carteira paga o golpista, e o dinheiro não volta pelo próprio sistema.

Como funciona o QR interoperável

O programa foi aprovado pela Comunicação “A” 7153 do BCRA e passou a valer em 7 de dezembro de 2020. Depois, a Comunicação “A” 7175 substituiu a norma original e organizou a implantação em fases, com prazo final em 29 de novembro de 2021. Em 2022, a Comunicação “A” 7463 acrescentou medidas para mitigar, prevenir e gerir fraudes em transferências.

O coração do programa é o pagamento com transferência (PCT, na sigla em espanhol). Segundo o BCRA:

• Qualquer carteira lê qualquer QR. A marca do código não importa; o pagador usa a carteira ou o banco que preferir, com conta bancária (CBU) ou de provedor de pagamentos (CVU).
• O crédito é imediato. Transferências imediatas são creditadas em no máximo 15 segundos, todos os dias, 24 horas por dia.
• O pagamento é irrevogável. Quando o comércio recebe, não há reversão pelo sistema.
• O custo é baixo. O comprador não paga comissão; o comércio paga entre 6 e 8 por mil, mais IVA.

Uma decisão do BCRA de agosto de 2021 também passou a exigir que as entidades financeiras ofereçam aos clientes comerciais um QR que identifica a conta de destino, para que o pagador não precise digitar CBU, CVU ou alias. As regras operacionais preveem QRs estáticos (com valor aberto ou fechado) e dinâmicos, gerados para cada cobrança.

A adoção cresceu rápido. Em fevereiro de 2023, o BCRA informou que um em cada quatro pagamentos com transferência já começava pela leitura de um QR, com média de 253.056 operações por dia na primeira quinzena de janeiro daquele ano, contra 46.828 no mesmo período de 2022.

Por que a interoperabilidade muda o risco

Em sistemas fechados, um QR falso só funciona para quem usa a mesma carteira. No Transferencias 3.0, as regras exigem o contrário: o comércio deve abrir seus códigos para leitura por todo o ecossistema, e as carteiras não podem se recusar a lê-los. É ótimo para o consumidor e para o lojista, e significa que um QR adulterado também é aceito por qualquer app.

Some a isso a irrevogabilidade e o crédito em segundos. Quando o pagador percebe que algo deu errado, o dinheiro já está na conta de destino. A devolução, quando existe, depende de quem recebeu. E, num golpe, quem recebeu é o criminoso.

Onde a adulteração acontece no checkout

Em uma loja virtual, o QR do Transferencias 3.0 aparece em uma página que carrega plataforma, tema, plugins e scripts de terceiros. Se um desses componentes for comprometido, ele pode:

• trocar o QR dinâmico por outro, gerado para uma conta de passagem, no mesmo valor;
• substituir o alias ou o CVU exibidos como alternativa ao QR por um identificador parecido;
• alterar o valor exibido em uma cobrança.

O cliente escaneia, paga e vê a confirmação na própria carteira. A loja não recebe. Para o cliente, a culpa é de quem mostrou o código: a loja.

Vale lembrar o que fica fora do alcance da página: QRs impressos no balcão e mensagens falsas enviadas por fora da loja são outro tipo de fraude, com outras defesas.

Checklist para o comércio

1. Prefira QR dinâmico com valor fechado para cada pedido, em vez de um QR estático de valor aberto exibido para todos.
2. Mostre o nome do titular da conta que o cliente verá na carteira e oriente-o a conferir antes de confirmar.
3. Libere pedidos só com o crédito confirmado na sua conta, nunca com comprovantes ou capturas de tela enviados pelo cliente.
4. Reduza os scripts de terceiros na página de pagamento e mantenha plataforma, tema e plugins atualizados.
5. Monitore a página em produção, com atenção a reclamações de “paguei e o pedido não aparece”.
6. Verifique, no navegador do cliente, se o QR, o alias ou CVU e o valor exibidos são os que você emitiu, e bloqueie qualquer divergência antes da leitura.

Como o Proteside protege o QR interoperável

O Proteside roda na sua página de pagamento e confere, no navegador do comprador, se o QR, o alias ou CVU e o valor exibidos são exatamente os que sua loja emitiu, bloqueando qualquer troca antes do escaneamento ou da confirmação. Conheça a proteção para pagamentos com Transferencias 3.0 e teste grátis por 14 dias.