Você fez uma compra no site de uma loja conhecida, pagou com o QR Code do Pix exibido no checkout e, dias depois, descobriu que o pedido continua “pendente” e que a loja afirma não ter recebido nada. Ao conferir o comprovante, o nome do recebedor não é o da empresa. Esse é o golpe do QR Code do Pix adulterado: um programa malicioso instalado no site da loja troca o código verdadeiro por outro, que envia o dinheiro para a conta de criminosos.
A resposta direta é: o consumidor que pagou de boa-fé, dentro do site oficial da loja, tem fundamentos para exigir a entrega do produto ou a devolução do valor da própria loja, além de pedir ao seu banco a devolução pelo Mecanismo Especial de Devolução (MED). Abaixo, explicamos como agir, em que ordem e quais são os seus direitos.
Como funciona o golpe do QR Code adulterado em lojas virtuais
Em setembro de 2026, o Procon-SP alertou para fraudes em que o QR Code e o código “copia e cola” do Pix são alterados na página de pagamento de lojas virtuais. Segundo noticiado pela imprensa com base em levantamento da empresa de segurança Kaspersky, ao menos 90 lojas virtuais de pequeno e médio porte foram infectadas por esse tipo de programa.
O valor cobrado costuma estar correto, o que dificulta a percepção da fraude. Para a loja, a venda aparece como “abandonada” ou “aguardando pagamento”; para o cliente, a compra parece concluída. Em geral, o problema só é percebido quando a entrega atrasa.
Paguei o Pix e o pedido continua pendente: o que fazer, passo a passo
- Confira o comprovante imediatamente. Verifique nome, CPF ou CNPJ e instituição do recebedor. Se não corresponderem à loja nem à intermediadora de pagamento que ela utiliza, há forte indício de adulteração.
- Peça a devolução ao seu banco no mesmo dia. Use a opção de contestação de Pix por golpe no aplicativo ou os canais oficiais do banco. O MED pode ser solicitado em até 80 dias após o Pix, mas a rapidez é decisiva: quanto antes, maior a chance de ainda haver saldo na conta de destino.
- Comunique a loja por escrito. Use somente os canais oficiais (SAC, e-mail ou chat do site), envie o comprovante e o número do pedido e anote o protocolo. Alertar a loja também ajuda a interromper o golpe contra outros clientes.
- Reúna as provas. Guarde o e-mail de confirmação do pedido, prints da página de pagamento (com o endereço do site visível, se possível), o comprovante com o identificador da transação e todas as conversas com a loja.
- Registre boletim de ocorrência. O registro formaliza a fraude e costuma ser exigido pelo banco e pela loja.
- Formalize a reclamação. Se a loja se recusar a resolver, registre reclamação no consumidor.gov.br ou no Procon. Veja como fazer em banco não resolveu: como reclamar no Bacen e no Procon.
A loja é obrigada a devolver o dinheiro? O que diz a lei
A compra pela internet é uma relação de consumo. O art. 14 do Código de Defesa do Consumidor (CDC) estabelece que o fornecedor responde, independentemente de culpa, pelos danos causados por defeitos na prestação dos serviços. O § 1º do mesmo artigo considera defeituoso o serviço que não oferece a segurança que o consumidor dele pode esperar, e quem compra no site oficial espera que o código de pagamento ali exibido seja o verdadeiro.
A loja só se exime se provar que o defeito não existe ou que houve culpa exclusiva do consumidor ou de terceiro (art. 14, § 3º). A tese de que “o hacker é o culpado” tende a encontrar resistência: a invasão do próprio sistema de pagamento é um risco ligado à atividade de quem vende pela internet, o que a jurisprudência costuma chamar de fortuito interno. Em caso semelhante, a 3ª Turma Recursal dos Juizados Especiais do Distrito Federal (processo nº 0705987-21.2025.8.07.0004) manteve, por unanimidade, a condenação de uma varejista a restituir consumidora que pagou por QR Code gerado no aplicativo da própria empresa e teve o valor desviado.
Há outros fundamentos relevantes:
- Cumprimento da oferta: se a loja se recusar a entregar, o art. 35 do CDC permite ao consumidor exigir o cumprimento forçado, aceitar produto equivalente ou rescindir o contrato com restituição do valor atualizado e perdas e danos.
- Credor putativo: o art. 309 do Código Civil considera válido o pagamento feito de boa-fé a quem aparentava ser o credor. O tema também aparece no golpe do boleto, como explicamos em paguei um boleto errado: tem como estornar ou contestar?
- Solidariedade: havendo mais de um responsável pelo dano, todos respondem solidariamente (art. 7º, parágrafo único, do CDC), o que permite discutir também a participação da plataforma ou intermediadora de pagamento.
Cada caso, porém, depende das provas. Há decisões que afastam a responsabilidade da empresa quando não se demonstra que o QR Code saiu dos seus canais oficiais, ou quando o pagamento foi feito a um recebedor claramente estranho à compra. Por isso, a análise individual por um advogado é indispensável.
Erros comuns e o que fazer se o banco negar o MED
O MED é previsto no art. 41-B do Regulamento do Pix (anexo à Resolução BCB nº 1/2020) para os casos de fundada suspeita de fraude. A negativa costuma ocorrer quando o dinheiro já saiu da conta de destino. Nesse caso, a recusa do banco não encerra o direito perante a loja: são caminhos independentes. Saiba mais em MED negado: o que fazer quando o banco recusa a devolução do Pix.
Os erros mais frequentes são: esperar a entrega por semanas antes de agir; tratar com a loja apenas por telefone, sem protocolo; aceitar crédito em loja sem avaliar os direitos; e não guardar o comprovante com os dados do recebedor. Persistindo a recusa da loja, é possível buscar o Juizado Especial Cível, avaliando com um advogado as provas disponíveis e a estratégia mais adequada.
Perguntas frequentes
Como saber se o QR Code do Pix da loja foi adulterado?
Antes de confirmar, confira na tela do banco o nome e o CNPJ do recebedor. Eles devem corresponder à loja ou à intermediadora de pagamento informada no site. Se aparecer uma pessoa física ou empresa sem relação com a compra, não conclua o pagamento. Veja outros sinais em como saber se uma chave Pix é golpe antes de pagar.
A loja pode dizer que a culpa é minha por não ter conferido o nome?
Pode alegar, e essa conferência pode pesar na análise do caso. Mas o CDC atribui à loja o dever de oferecer um ambiente de pagamento seguro, e a culpa exclusiva do consumidor precisa ser provada pela empresa. A avaliação depende das circunstâncias concretas.
E se a loja não existir ou o site for falso?
Aí o cenário é outro: não há loja verdadeira a ser responsabilizada, e o foco passa a ser o MED e a eventual responsabilidade do banco que mantinha a conta usada no golpe. Explicamos esse caso em comprei pela internet, paguei no Pix e não recebi: e agora?
Paguei a uma loja verdadeira por indicação de um vendedor falso. O MED funciona?
Nesse golpe, conhecido como triangulação, o golpista anuncia um produto e faz a vítima pagar o pedido que ele próprio fez em uma loja real. O art. 41-B, § 1º, II, do Regulamento do Pix exclui do MED os valores destinados a terceiro de boa-fé. Por isso, o caso exige estratégia diferente, que deve ser avaliada individualmente. Veja também fiz um Pix para um golpista: como recuperar o dinheiro.
Sobre o autor
Renan Palmeira da Nóbrega, OAB/PB 17.317, é advogado com atuação em direito bancário e na defesa de consumidores vítimas de fraudes em operações Pix e golpes digitais.
Pagou pelo Pix no site da loja e o pedido não foi confirmado?
O escritório Palmeira Advogados realiza a avaliação gratuita do seu caso, com análise das provas e dos caminhos possíveis perante o banco e a loja. Cada situação é examinada individualmente, sem promessa de resultado.
