Um casal foi preso em Guarulhos no dia 17 de agosto de 2026. A Delegacia Especial de Repressão aos Crimes Cibernéticos da Polícia Civil do Distrito Federal (PCDF), com apoio da polícia paulista, batizou a ação de Operação Desvio de Rota. O nome não é por acaso.
Os dois invadiam sistemas de corretoras de seguro e trocavam a forma de cobrança do cliente, boleto ou débito automático, por uma chave Pix que eles mesmos controlavam. Depois, ligavam ou mandavam mensagem pelo WhatsApp se passando por atendentes da corretora, com uma oferta de até 5% de desconto para quem pagasse na hora.
A pressa fazia o cliente pular a única checagem que importava: o nome de quem recebe o dinheiro. Um homem de 28 anos e uma mulher de 26 foram presos, com dois mandados de prisão e dois de busca e apreensão cumpridos. A PCDF não divulgou o valor desviado nem quantos clientes foram atingidos, mas os dois respondem por invasão de dispositivo informático e estelionato qualificado, crimes que somam até 12 anos de reclusão.
O golpe de Guarulhos não depende de adesivo colado em papel. Ele muda o destino do pagamento antes mesmo de o boleto chegar à tela de quem vai pagar, direto no sistema de quem cobra. É a versão mais silenciosa de um problema que, em outros formatos, já apareceu colado literalmente em cima do código verdadeiro.
QR Code colado por cima do original: a face mais comum do golpe
Em bancas, estacionamentos, restaurantes e balcões de loja, a fraude costuma ser física. O criminoso imprime um QR Code próprio, do tamanho exato do original, e cola por cima do código afixado no caixa ou no totem. Quem escaneia paga, sem perceber, direto na conta do golpista, segundo reportagem do Correio Braziliense.
A reportagem do NSC Total descreve o mesmo padrão em feiras, eventos e avisos de condomínio: papel mal colado, impressão diferente do restante do aviso, ou um adesivo visivelmente posterior à arte original. Em versão digital, o princípio é idêntico ao da Operação Desvio de Rota: o código certo é trocado dentro do arquivo, antes de chegar ao pagador, seja num PDF enviado por e-mail, seja num sistema de cobrança invadido.
Nenhuma das duas reportagens cita boletos físicos com adesivo colado por cima do QR Code como caso específico já registrado. O que existe, confirmado, é o padrão de adulteração em totens e avisos impressos de um lado, e a troca do código dentro de sistemas digitais de cobrança do outro, caso da PCDF. Soma-se a isso uma terceira porta de entrada, que não depende de invadir sistema nenhum: a fatura falsa que chega pronta no e-mail.
Golpe da Netflix: fatura falsa com QR Code Pix embutido
Em 2022, o analista de segurança Fabio Assolini, da Kaspersky, identificou o que descreveu como a primeira vez que um QR Code Pix era usado nesse tipo de fraude, em reportagem da Tecnoblog. O e-mail trazia a arte oficial da Netflix, um suposto plano trimestral promocional por R$ 267,99 e um prazo artificial, válido só para os primeiros 800 assinantes, com QR Code Pix para pagamento imediato.
O truque segue em circulação. Reportagem de julho de 2025 do UAI Notícias confirma o mesmo formato: e-mail com visual copiado da plataforma, cobrança ou promoção com prazo curto, QR Code Pix embutido. O detalhe que trava qualquer chance de estorno é o próprio Pix: uma vez confirmado, dificilmente volta.
O dado novo não é a marca usada, é a reciclagem do método. O mesmo roteiro, fatura copiada mais QR Code com prazo curto, já foi visto fazendo-se passar por operadora de internet, telefonia e TV a cabo. A Netflix é só a fachada mais recente de um texto que qualquer empresa de cobrança recorrente pode virar vítima.
Sinais de QR Code adulterado: o que checar antes de pagar
Antes de confirmar qualquer pagamento por QR Code, bancos e o Procon-SP recomendam parar em três pontos, segundo levantamento publicado pelo Prudents com base em alerta do Procon-SP de 12 de setembro de 2026:
- O nome e o CNPJ ou CPF de quem recebe, exibidos na tela do banco depois de escanear o código, precisam bater com o nome de quem está cobrando.
- O valor precisa corresponder exatamente à compra: códigos fraudados às vezes já vêm com valor fixo embutido.
- Um adesivo com acabamento diferente do resto do aviso, canto que descola com a unha, ou camada de papel visivelmente colada por cima do impresso original é sinal de adulteração física.
Em boleto impresso, a recomendação mais antiga da Febraban continua valendo e se soma às três de cima: conferir se os três primeiros números do código de barras correspondem ao banco que aparece no documento, já que fraudadores costumam reaproveitar logotipos, conforme alerta reproduzido pela CNN Brasil. A entidade também recomenda pedir o boleto em PDF direto ao emissor, já que esse formato é mais difícil de adulterar do que uma versão impressa e depois reimpressa.
Nenhuma dessas fontes publicou uma orientação específica batizando o golpe do “QR Code colado sobre boleto físico”. O que existe são as peças separadas: o alerta sobre adesivos em totens e avisos, a regra antiga sobre código de barras de boleto, e o caso de troca digital dentro de sistema de cobrança. Juntar as três é o que esse texto faz, mas nenhum órgão consultado tratou o boleto colado como caso autônomo até a data de fechamento desta reportagem.
Pix já saiu da conta: os passos para tentar reaver o valor
A primeira ligação é para o banco, não para a empresa que supostamente cobrou. É o banco quem aciona o Mecanismo Especial de Devolução (MED), mecanismo do Banco Central que pode bloquear o valor ainda na conta de destino antes que o golpista saque ou pulverize o dinheiro em outras contas.
Desde 1º de setembro de 2026, o prazo para contestar uma devolução feita pelo MED subiu de 30 para 80 dias corridos, conforme atualização do Banco Central divulgada pelo LetsMoney. A mudança mira o lado do recebedor de um Pix legítimo que tenta reverter um estorno indevido, mas o prazo de até 80 dias para quem foi vítima de fraude pedir o próprio MED, contado a partir da transferência, segue valendo.
O segundo passo é o boletim de ocorrência, hoje registrável pelo site da polícia em quase todos os estados, sem precisar ir à delegacia. A PCDF não informou se as corretoras atingidas em Guarulhos chegaram a acionar o MED a tempo de recuperar algum valor, nem quantos clientes caíram no golpe antes da prisão da dupla. A existência do mecanismo é exatamente para casos como esse, em que o dinheiro muda de destino antes de a vítima perceber a fraude.
Para quem for pagar o próximo boleto, o teste continua sendo o mesmo que travou o golpe da Operação Desvio de Rota: olhar o nome na tela antes de confirmar. Nenhum desconto oferecido no WhatsApp compensa pular essa checagem.
Você pode aprender a se proteger de golpes e fraudes aqui no Consumidor Certo.
Fontes citadas no texto
- SouBrasília, “PCDF prende casal que trocava boleto de seguro por Pix falso no DF” (18/08/2026)
- Correio Braziliense, “Novo golpe do Pix usa QR Code falso; aprenda agora a se proteger” (15/05/2026)
- NSC Total, “Alerta no Pix: como identificar QR Codes falsos e evitar golpes de transferências indevidas” (26/07/2026)
- Tecnoblog, “Golpe usa Pix via QR Code e identidade da Netflix para roubar dinheiro”, com dados da Kaspersky (10/01/2022)
- UAI Notícias, “Golpe usa nome da Netflix e QR Code falso para roubar via Pix” (03/07/2025)
- Prudents, “Golpe do QR Code: o que o código esconde e como conferir antes”, com alerta do Procon-SP de 12/09/2026 (23/09/2026)
- CNN Brasil, “‘Não imprima boletos’, alerta Febraban; entenda o porquê” (01/04/2024)
- LetsMoney, “BC: 80 dias para contestar devolução no Pix” (02/09/2026)
