Quishing (Phishing por Código QR): Guia Completo de Proteção

Táticas comuns

• • Substituição física de código QR: Golpistas imprimem adesivos com códigos QR maliciosos e os colocam sobre códigos legítimos em parquímetros, terminais de pagamento de restaurantes, estações de carregamento de veículos elétricos e rótulos de pacotes de entrega, redirecionando pagamentos para suas próprias contas.
• • Campanhas de quishing por email: Atacantes enviam emails com aparência profissional fingindo ser de departamentos de TI, RH ou instituições financeiras com códigos QR para redefinição urgente de senha, configuração de autenticação multifator ou pagamentos de faturas que levam a sites de coleta de credenciais.
• • Avisos falsos de violação de estacionamento: Criminosos colocam multas de estacionamento fraudulentas nos para-brisas com códigos QR alegando oferecer opções de pagamento rápido, que na verdade roubam informações de cartão de crédito e dados pessoais quando escaneados.
• • Iscas de investimento em criptomoedas: Golpistas distribuem códigos QR por redes sociais e aplicativos de mensagens afirmando fornecer acesso a oportunidades exclusivas de investimento em criptomoedas, mas na verdade drenam as carteiras digitais das vítimas quando escaneados.
• • Fraudes de entrega de pacotes: Fraudadores enviam mensagens de texto ou emails com códigos QR alegando reagendar entregas de pacotes ou pagar taxas de alfândega, levando a sites de serviços postais falsos que capturam informações de cartão de pagamento.
• • Fraudes de cardápio e pagamento em restaurantes: Atacantes criam códigos QR falsos para cardápios digitais ou pagamentos de serviço de mesa em restaurantes, redirecionando clientes para sites que imitam os legítimos e roubam dados de cartão de crédito quando os clientes tentam pagar suas contas.

Como identificar

• Incompatibilidade de visualização de URL: Antes de abrir o link, verifique se seu telefone exibe uma URL de visualização que não corresponde ao destino esperado (por exemplo, um código QR de parquímetro mostrando uma URL de site pessoal em vez do domínio oficial da cidade).
• Evidência de manipulação física: Procure por adesivos colocados sobre códigos QR originais, impressão desalinhada, qualidade de papel diferente ou códigos que parecem ter sido adicionados depois, em vez de serem impressos profissionalmente como parte do material original.
• Solicitações de ação urgente: Desconfie de códigos QR acompanhados por linguagem ameaçadora como 'sua conta será suspensa em 24 horas', 'atualização de segurança urgente necessária' ou 'pague em 2 horas para evitar penalidades', pois serviços legítimos raramente usam essas táticas de pressão.
• Comunicação genérica ou impessoal: Emails ou mensagens contendo códigos QR que não usam seu nome real, fazem referência a problemas vagos de conta ou carecem de detalhes específicos sobre seu relacionamento com o suposto remetente são provavelmente fraudulentos.
• Solicitações de autenticação inesperadas: Se você receber códigos QR não solicitados alegando configurar autenticação multifator, verificar detalhes de conta ou confirmar identidade quando não iniciou nenhum desses processos, este é um sinal de alerta importante.
• Inconsistência de destino de pagamento: Quando um código QR leva a uma página de pagamento, verifique se o nome do destinatário, detalhes comerciais e processador de pagamento correspondem às expectativas — golpistas frequentemente usam contas pessoais ou plataformas de pagamento desconhecidas em vez de serviços de comerciante estabelecidos.

Como se proteger

• Instale um scanner de código QR com visualização de URL: Use aplicativos leitores de código QR que exibem a URL de destino completa antes de abri-la, e sempre verifique se o domínio corresponde à organização legítima (procure por erros ortográficos sutis como 'micros0ft.com.br' com um zero em vez de 'o').
• Digite manualmente URLs oficiais: Em vez de escanear códigos QR para ações sensíveis como operações bancárias, redefinições de senha ou pagamentos, navegue para o site oficial digitando a URL diretamente no seu navegador ou usando marcadores salvos.
• Verifique códigos QR físicos antes de escanear: Examine parquímetros, terminais de pagamento e embalagens de produtos em busca de sinais de manipulação — códigos QR legítimos devem ser impressos como parte do material original, não adicionados por meio de adesivos ou rótulos separados.
• Ative autenticação de dois fatores em todas as contas: Mesmo que golpistas obtenham suas credenciais através de quishing, a autenticação de dois fatores apropriada usando aplicativos autenticadores (não SMS) os impede de acessar suas contas sem o código de verificação secundária.
• Contate organizações por canais oficiais: Se você receber um código QR alegando ação urgente, entre em contato independentemente com a organização usando números de telefone ou sites de suas fontes oficiais, não informações fornecidas na mensagem suspeita.
• Use software de segurança móvel: Instale aplicativos reputáveis de segurança móvel que possam detectar e bloquear sites maliciosos, mesmo quando acessados através de códigos QR, fornecendo uma camada adicional de proteção contra roubo de credenciais e malware.

Casos reais

Onde denunciar — Portugal / Brasil

Canais oficiais na sua região para denunciar este golpe.