Recebeu uma encomenda que não pediu? Pense duas vezes antes de escanear o QR Code

Uma encomenda chega à sua casa, mas você não se lembra de ter comprado nada. Na embalagem, um QR Code promete explicar como devolver o produto ou verificar de onde veio o pacote. A curiosidade de descobrir o que aconteceu pode ser justamente a porta de entrada para um golpe.

Em maio de 2026, o UOL relatou uma fraude na qual pessoas receberam produtos que não haviam comprado, acompanhados de QR Codes. Segundo a reportagem, os códigos levavam a endereços falsos usados na tentativa de obter dados pessoais, senhas e informações bancárias das vítimas.

A estratégia aproveita uma tecnologia que passou a fazer parte da rotina. QR Codes aparecem em restaurantes, pagamentos, ingressos, estacionamentos, correspondências e serviços públicos. O problema é que, olhando apenas para o desenho do código, não é possível saber para onde ele vai direcionar o celular.

O QR Code pode esconder o endereço de destino

Golpes desse tipo fazem parte das estratégias de phishing, nas quais criminosos tentam levar a vítima a uma página falsa ou induzi-la a entregar informações confidenciais. Quando a fraude usa especificamente um QR Code, também é comum encontrar o termo “quishing”, formado pela combinação de QR Code e phishing.

O Ministério das Comunicações alerta que essas tentativas podem chegar por SMS, e-mail, aplicativos de mensagens, redes sociais e QR Codes. As páginas criadas pelos criminosos podem imitar bancos, lojas, empresas de entrega ou órgãos públicos e solicitar CPF, senhas, códigos de autenticação, dados bancários e informações de cartões.

É importante fazer uma distinção. Escanear um QR Code não significa, por si só, que todas as informações do aparelho foram automaticamente entregues a um criminoso. O perigo está no conteúdo para o qual aquele código direciona.

A Anatel alerta que códigos de origem desconhecida podem levar a sites falsos ou até induzir à instalação de aplicativos maliciosos. Por isso, recomenda verificar a origem do QR Code antes de utilizá-lo.

Também é preciso desconfiar quando a página pede permissões incomuns, instalação de arquivos, dados bancários, senhas ou códigos recebidos por SMS.

Encomendas e entregas viraram isca para diferentes fraudes

O uso de entregas como argumento para golpes não se limita às caixas que chegam inesperadamente.

Os Correios têm alertado para mensagens falsas enviadas por SMS, e-mail e WhatsApp que informam supostos problemas com encomendas. Os criminosos também criam páginas, perfis e comunicações que imitam a identidade visual da empresa para convencer a vítima a pagar uma cobrança ou fornecer informações.

A Receita Federal mantém um alerta semelhante para encomendas internacionais. O órgão informa que não cobra valores para liberação de mercadorias por meio de links enviados em mensagens, QR Code, cartão de crédito ou cartão de débito. A orientação é consultar a situação da remessa diretamente pelos canais oficiais.

A lógica vale para outras situações. Um QR Code em uma cobrança, multa, panfleto ou correspondência não se torna confiável apenas porque está impresso ou utiliza o logotipo de uma empresa conhecida.

O que observar antes de escanear

Alguns cuidados reduzem bastante o risco:

1. Se você recebeu uma encomenda que não reconhece, consulte primeiro o histórico de compras diretamente no aplicativo ou site oficial da loja.
2. Não use o QR Code da própria embalagem para descobrir se ela é verdadeira.
3. Ao escanear um código legítimo, confira o endereço mostrado pelo celular antes de abrir a página.
4. Desconfie se o site pedir senha bancária, código de autenticação, número completo do cartão ou instalação de um aplicativo.
5. Se houver uma cobrança por Pix, confira o nome e os dados do beneficiário antes de confirmar a transferência.
6. Diante de qualquer dúvida, feche a página e procure a empresa por um canal obtido independentemente, digitando o endereço oficial no navegador ou usando o aplicativo já instalado.

Pressa e urgência também são sinais que merecem atenção. O Ministério das Comunicações recomenda cautela diante de mensagens que ameaçam bloquear contas imediatamente, prometem reembolsos inesperados ou exigem atualização urgente de cadastro.

Escaneei o código. E agora?

Se você apenas escaneou o código, percebeu que o endereço era suspeito e fechou a página sem fornecer informações, fazer pagamentos, instalar arquivos ou conceder permissões, isso não significa automaticamente que suas contas foram comprometidas.

A situação exige mais atenção se você digitou senhas ou dados bancários, instalou algum aplicativo, autorizou permissões incomuns ou identificou movimentações que não reconhece.

O Ministério das Comunicações orienta alterar imediatamente as senhas das contas que possam ter sido afetadas, comunicar a instituição financeira, acompanhar as movimentações e, conforme a situação, registrar boletim de ocorrência preservando mensagens, links e capturas de tela como evidência.

Se houve transferência por Pix motivada pelo golpe, o Banco Central orienta procurar o banco o mais rápido possível e solicitar a abertura do Mecanismo Especial de Devolução, o MED. Em setembro de 2026, a regra vigente permite registrar o pedido em até 80 dias após a transação, embora agir rapidamente aumente as possibilidades de bloqueio dos recursos. O MED não garante que o dinheiro será recuperado, pois a devolução depende da análise da fraude e da existência de valores que possam ser bloqueados nas contas envolvidas.

O QR Code continua sendo uma ferramenta útil e segura quando sua origem é conhecida. O cuidado necessário é o mesmo adotado diante de qualquer link: antes de abrir, pagar ou informar dados, vale confirmar quem enviou e para onde aquele código realmente leva.

Fontes:

• UOL, “Criminosos enviam embalagens falsas a casas e dão golpe com QR Code”, 20 de maio de 2026.
• Ministério das Comunicações, “Ataque Phishing: como identificar tentativas de fraude na internet”, 14 de julho de 2026.
• Agência Nacional de Telecomunicações (Anatel), orientações de segurança sobre QR Codes.
• Correios, alerta sobre mensagens falsas envolvendo encomendas.
• Banco Central do Brasil, orientações de segurança no Pix e Mecanismo Especial de Devolução.
• Receita Federal, orientações sobre golpes envolvendo remessas postais e encomendas internacionais.