Golpes de PIX e boleto: o que conferir antes de pagar

Um código que passa em todas as verificações técnicas ainda pode levar o dinheiro para a conta errada. Veja o que checar antes de confirmar um PIX ou um boleto, o que um decodificador consegue provar, o que ele não consegue e quais são os caminhos oficiais se o golpe já aconteceu.

Por Fábio Hage (Hage83) · atualizado em 02/11/2026

A regra de ouro: confira quem recebe, não só o valor

A maior parte das fraudes com PIX e boleto não quebra nenhuma regra técnica. O golpista troca o destino por um código novo, válido e bem formado. Por isso a verificação que protege é a humana: o nome e o documento de quem vai receber, mostrados pelo seu banco na tela de confirmação, precisam bater com a empresa ou a pessoa com quem você negociou.

O Procon-SP descreve justamente esse padrão: em lojas virtuais, criminosos substituem o QR Code (e também o texto do copia e cola) por um que desvia o dinheiro, e a orientação é não conferir só o valor, mas verificar no aplicativo o nome e o CNPJ do destinatário antes de autorizar. Se não baterem, não conclua o pagamento.

PIX: o que conferir

1. Nome e documento na tela de confirmação do seu banco. Pelo Manual de Padrões para Iniciação do Pix, o nome apresentado ao pagador é o nome retornado pela consulta ao DICT (o diretório de chaves), e o nome gravado dentro do código (campo 59) é ignorado pelo aplicativo. Ou seja, o nome que aparece no decodificador é só o que quem gerou o código escreveu. O nome do seu banco é o que vale.
2. Valor. Em PIX estático o valor está dentro do código e pode ter sido alterado. Em PIX dinâmico ele vem da cobrança no banco do recebedor.
3. Origem do código. Pediu a cobrança por um canal que você conhece? Código recebido por mensagem de um número novo, ou mudança de chave "de última hora", merece confirmação por outro canal.
4. Tipo. Estático (a chave está no texto) ou dinâmico (o texto traz uma URL da cobrança).

Exemplos reais com o decodificador

Todos usam dados fictícios. O código original, com chave [email protected], valor 123.45 e CRC 882B:

00020101021126470014br.gov.bcb.pix0125financeiro@exemplo.com.br5204000053039865406123.455802BR5918EMPRESA TESTE LTDA6009SAO PAULO62070503***6304882B

• Chave trocada à mão (exemplo virou exemp1o, com o número 1): o decodificador respondeu CRC informado 882B, calculado 6D9A. Edição simples é pega pelo CRC.
• Valor alterado de 123.45 para 923.45 sem recalcular: informado 882B, calculado 66A8. Também é pego.
• Código forjado do zero: gerei outro código com a chave [email protected], mesmo nome, mesma cidade e mesmo valor, com CRC recalculado (C9E9). Resultado: CRC confere e nenhum aviso. O decodificador mostra a chave, mas não tem como saber que ela pertence a outra pessoa.

A lição do terceiro caso é o ponto central deste guia: o CRC prova que o texto não foi alterado depois de gerado, não que foi gerado por quem deveria. Qualquer pessoa consegue calcular um CRC válido.

Boleto: o que conferir

1. Banco na linha digitável. Os três primeiros dígitos são o código da instituição destinatária, a mesma impressa em destaque no canto superior esquerdo da ficha de compensação, segundo o Anexo V da convenção da FEBRABAN. Se o boleto veio de um prestador que sempre cobra por um banco e agora aparece outro, pergunte.
2. Dígitos verificadores. A linha de 47 dígitos tem três DVs por módulo 10 e um DV geral por módulo 11. Eles pegam erro de digitação e alteração descuidada.
3. Valor e vencimento do código contra o que está impresso e contra o que combinou.
4. Beneficiário. Compare o nome e o CNPJ do beneficiário com o de quem emitiu a cobrança. Se o seu aplicativo mostrar o beneficiário antes da confirmação, essa é a checagem mais forte; o que seu banco exibe deve ser confirmado no próprio app.

Exemplos reais com o decodificador

Linha de teste (o campo livre, que é específico de cada banco, é inventado aqui):

34191234546789012345767890123457316360000012345

O decodificador de boleto leu: banco 341 (Itaú Unibanco), valor R$ 123,45, vencimento 2026-11-20 (fator 1636, ciclo iniciado em 22/02/2025), todos os dígitos verificadores corretos. Variações:

• Um dígito do valor alterado na linha (o valor virou 90000123.45): alerta de "DV geral não confere (informado 3, esperado 1)". Alteração sem recálculo é pega.
• Valor alterado com DVs recalculados (R$ 9.123,45): nenhum alerta. Um boleto regenerado com valor maior é "válido" para qualquer verificador.
• Banco diferente: a mesma estrutura com código 260 passou sem alerta e foi identificada como Nubank. Os dígitos verificadores não sabem qual banco era o esperado, só você sabe.

Duas ressalvas. O decodificador do Me Ajuda Flow tem uma lista curta de bancos: se o nome vier vazio, isso não indica fraude, só que o código não está na lista. E o vencimento pode ser ambíguo: desde 22/02/2025 o fator reinicia em 1000, então o mesmo número cabe em dois ciclos, e a ferramenta mostra a data mais próxima de hoje. No exemplo acima, a outra data possível é 2002-03-31.

O que o decodificador prova e o que não prova

Na convenção da FEBRABAN, nas relações entre bancos o registro do boleto na Base Centralizada da Cobrança prevalece sobre o que está impresso. Isso protege a operação entre instituições, mas não verifica se o beneficiário registrado é quem você queria pagar. Essa conferência continua com você.

Se você já pagou: caminhos oficiais

O Banco Central mantém o Mecanismo Especial de Devolução (MED) para PIX. O que consta no Guia do MED, e o que você deve confirmar com o seu banco:

• Como pedir. O pagador abre uma contestação pelo aplicativo do seu banco (a funcionalidade de autoatendimento do MED) ou pelo canal de atendimento, relatando o golpe. O guia prevê que isso vale mesmo se você autorizou com senha ou biometria.
• Prazo. A transação original deve ter no máximo 80 dias na abertura do pedido. Aja logo. O guia também prevê que o banco do recebedor possa fazer um bloqueio cautelar de valores por até 72 horas quando houver suspeita de fraude.
• Não há garantia. A devolução depende de se confirmar a fraude e do saldo disponível na conta do recebedor: o guia prevê devolução parcial, ou nenhuma, se o dinheiro já saiu da conta.
• O que fica de fora. O MED não é chargeback. O guia exclui, por exemplo, PIX enviado para o destinatário errado por engano do pagador, desacordo comercial e dinheiro que o golpista usou para comprar de um terceiro de boa-fé.
• Se o banco não resolver. Pelos Requisitos Mínimos para a Experiência do Usuário, o aplicativo deve informar que você pode registrar reclamação no site do Banco Central.

Guarde prints, protocolos e o comprovante. O Procon-SP recomenda também avisar a loja, quando for o caso. Há versões do Guia do MED com vigências diferentes ao longo de 2026, então confira o texto atual no site do Banco Central. Para boleto, não encontrei na fonte um mecanismo equivalente ao MED, então o caminho é o contato imediato com seu banco e com o banco do beneficiário. Este guia é informativo e não substitui orientação jurídica.

Checklist de 30 segundos

1. O nome e o documento mostrados pelo seu banco são os do fornecedor?
2. O valor e o vencimento são os combinados?
3. O banco do boleto é o esperado? Chave de PIX nova ou conta diferente do habitual?
4. O código chegou por um canal confiável, e foi confirmado por outro?
5. O decodificador mostra CRC e DVs corretos? Ótimo, mas isso é só a parte técnica.

Cole o código na ferramenta PIX copia e cola para ver chave, nome, valor e CRC campo a campo, e a linha digitável em boleto para ver banco, valor e vencimento. Se o pagamento é de uma compra com nota, confira a chave de acesso em chave de NF-e.

Ferramentas para usar com este guia

Fontes oficiais

• Manual de Padrões para Iniciação do Pix (Banco Central do Brasil)
• Guia de implementação dos procedimentos de devolução no Pix, com ênfase no MED (Banco Central do Brasil)
• Convenção entre Instituições do Sistema Financeiro, boleto de pagamento (FEBRABAN)
• Requisitos Mínimos para a Experiência do Usuário do Pix (Banco Central do Brasil)
• Procon-SP orienta sobre golpe que altera o QR Code do Pix em compras online