Os códigos QR estão por toda parte: mesas de restaurante, parquímetros, avisos de entrega e até e-mails de trabalho. A maioria das pessoas nem pensa duas vezes antes de escanear esses códigos. Mas os criminosos cibernéticos contam exatamente com essa suposta praticidade.
O quishing é um tipo de ataque cibernético em rápido crescimento que usa códigos QR para fazer com que vítimas desavisadas entreguem senhas, dados de pagamento ou informações pessoais. Por isso, vamos conferir em detalhes como são os ataques de quishing e como você pode se proteger contra eles.
O que é quishing?
O quishing (phishing por código QR) é um tipo de ataque de phishing em que cibercriminosos usam códigos QR que encaminham as vítimas para sites falsos ou que as induzem a baixar malware. Esse tipo de ataque também pode ser chamado de phishing por código QR, phishing por QR ou simplesmente golpes de código QR.
Um código QR (Quick Response) é um código de barras bidimensional que pode ser lido com a câmera do celular. Ele pode armazenar URLs e links rápidos para instruções de pagamento, dados de contato, credenciais de Wi-Fi e muito mais e é extremamente conveniente. Basta apontar o celular, ler o código e pronto. Mas essa praticidade torna os golpes com códigos QR muito perigosos.
Ao contrário de um link comum, o código QR oculta o destino. A confiança que as pessoas têm nos códigos QR e a ausência de uma URL visível antes da leitura são exatamente os pontos que os cibercriminosos exploram nos ataques de quishing. Não é possível saber para onde você está indo até chegar lá.
Mas o que os invasores realmente procuram? Cerca de 90% dos casos de quishing¹ têm como objetivo roubar informações confidenciais, como credenciais de login, números de cartão de crédito, dados de acesso bancário e informações pessoais que podem ser usadas em roubos de identidade. O foco de alguns ataques também pode ser a instalação de malware para fraudes contínuas.
Veja como funciona um golpe simples de quishing: você vê um código QR em uma placa de estacionamento, faz a leitura para pagar e entra em uma página com aparência realista que solicita os dados do seu cartão. No entanto, a página é falsa e seu dinheiro e dados do cartão vão direto para as mãos dos golpistas.
Como funciona um ataque de quishing?
Entender como funcionam os ataques de quishing ajuda a identificar o perigo antes que aconteça qualquer prejuízo. Um ataque típico de quishing segue uma sequência clara:
- Criação da armadilha: o invasor registra um domínio falso que imita uma marca confiável, como um banco, uma empresa de entregas ou um portal de login corporativo, e cria um site de phishing convincente.
- Geração do código: o golpista cria um código QR personalizado que contém o link para esse site malicioso. Às vezes, ele usa encurtadores de URL ou serviços de redirecionamento legítimos para mascarar o destino final.
- Distribuição do código de quishing: o criminoso adiciona o código QR malicioso a e-mails, folhetos, postagens em redes sociais, anexos em PDF ou cola adesivos sobre códigos QR legítimos em locais públicos.
- Atração da vítima: a mensagem relacionada ao código usa argumentos de praticidade ou manipulação emocional, como urgência, medo ou ofertas atraentes, para que as pessoas leiam o código imediatamente.
- Coleta de dados ou disseminação de malware: quando a vítima abre o site de phishing, ele solicita credenciais de login ou dados de pagamento. Se você atender ao que o site pede e fornecer esses dados, pode se tornar vítima de roubo de credenciais ou fraude financeira. Se o site de phishing iniciar o download de um arquivo, você poderá instalar malware acidentalmente no seu dispositivo.
“Até mesmo quem se preocupa com a privacidade e tem o hábito de examinar cabeçalhos de e-mail e links de SMS continua completamente exposto porque o quishing explora a confiança física e espacial. Você espera encontrar códigos QR em parquímetros, estações de recarga de veículos elétricos, máquinas de venda automática e caixas eletrônicos e ler esses códigos é simplesmente muito mais conveniente do que digitar uma URL de 50 caracteres.
O problema é que os cibercriminosos adoram qualquer recurso que oculte, disfarce e simplifique um processo. Colar adesivos de vinil fraudulentos sobre os legítimos é uma maneira excelente (e incrivelmente barata) de contornar totalmente o senso crítico e os filtros digitais de spam.”
– Miguel Fornes, Gerente de segurança da informação na Surfshark
Por que os códigos QR são negligenciados pela segurança de e-mail
Os ataques de quishing costumam passar pelos filtros tradicionais de segurança de e-mail porque a URL está inserida em uma imagem e não em um texto clicável. A maioria das soluções de segurança de e-mail busca por links suspeitos em formato de texto e domínios maliciosos conhecidos, mas não costumam decodificar códigos QR em imagens ou anexos em PDF.
Entre junho e setembro de 2024, a Barracuda Networks encontrou mais de meio milhão de e-mails de phishing com códigos QR escondidos em PDFs. Entre as marcas imitadas nesses ataques de quishing, a Microsoft representa 51% e a Docusign 31%².
Golpes comuns de quishing, exemplos e o que você precisa prestar atenção
Há muitas formas de phishing por código QR, mas os padrões de engenharia social se repetem: urgência, medo e praticidade. Vamos ver como os criminosos usam códigos QR em golpes tanto em canais digitais (e-mails, mensagens de texto, redes sociais) quanto em locais físicos (parquímetros, mesas de restaurantes, avisos de entrega).
Códigos QR falsos de pagamento/estacionamento
Os golpistas usam códigos QR falsos de estacionamento para roubar dados de pagamento. O método é simples: os criminosos imprimem adesivos com códigos QR para colar por cima dos códigos QR verdadeiros nos totens de autoatendimento ou nas placas de estacionamento em áreas movimentadas.
Por exemplo, foram encontrados adesivos falsos com códigos QR em mais de vinte estações de pagamento de estacionamento em Austin, Texas, e golpes semelhantes de estacionamento rotativo foram relatados em San Antonio³. No Reino Unido, a CFEU (Counter Fraud and Enforcement Unit) alerta que golpistas estão colocando códigos QR falsos em placas e parquímetros para imitar plataformas de pagamento legítimas, como a PayByPhone, com o objetivo de roubar dados bancários e cometer roubo de identidade⁴.
O IC3 (Centro de Denúncias de Crimes pela Internet) do FBI também registrou um aumento nos golpes que utilizam códigos QR para direcionar as vítimas a caixas eletrônicos de criptomoedas, para agilizar pagamentos relacionados a golpes românticos e lotéricos, além de fraudes por falsa identidade⁵.
Confira as recomendações de Miguel Fornes, nosso Gerente de segurança da informação:
Sinais de alerta a observar:
- Passe a unha do polegar na borda do código QR. Códigos legítimos são impressos diretamente na estrutura de metal ou plástico. Se sentir uma borda clara ou em relevo, interrompa a transação;
- O adesivo está em um local estranho, não ergonômico ou descentralizado? Empresas legítimas se esforçam para que suas interfaces físicas sejam centralizadas e intuitivas;
- Um adesivo de código QR novo, claro e recém-impresso em um parquímetro antigo, desbotado pelo sol e bastante danificado é um enorme sinal de alerta;
- Se você ler um código e notar que a prévia da URL muda rapidamente para domínios diferentes ou encurtadores (como bit.ly) antes de chegar à página final de pagamento, feche imediatamente o navegador.
Avisos falsos de entrega de encomendas e de “reagendamento”
Alertas de entrega falsos costumam usar códigos QR para redirecionar a sites de phishing. Você recebe avisos, folhetos ou e-mails dizendo que houve uma “tentativa de entrega” de uma transportadora conhecida. Ler o código QR leva a um portal falso que exige uma pequena “taxa de reentrega”, além dos dados completos do cartão.
O FBI também alerta que os criminosos agora estão enviando encomendas não solicitadas pelo correio sem informações do remetente, uma variação do golpe de brushing, em que códigos QR induzem os destinatários a fornecerem dados pessoais e financeiros ou a baixarem malware sem terem conhecimento⁶.
Sinais de alerta a observar:
- Urgência para evitar a devolução da encomenda;
- Números de rastreamento vagos;
- Nomes genéricos de empresas de entrega.
Se receber um aviso desse tipo, acesse diretamente o aplicativo ou o site oficial da transportadora em vez de ler o código QR anexado.
E-mails com faturas e folhas de pagamento falsas
As pessoas recebem e-mails de quishing no trabalho, geralmente com faturas falsas, alterações de folha de pagamento ou confirmações de pagamento a fornecedores que incluem um código QR “para visualizar o documento protegido”. Esses códigos levam o usuário a páginas de login falsas da Microsoft ou do Google, criadas para roubar credenciais. Como o link fica oculto na imagem, esses e-mails não são detectados por muitos filtros de segurança de e-mail.
Sinais de alerta a observar:
- Domínios de remetente divergentes ou parecidos com os legítimos;
- Grande urgência e pressão para uma tomada de decisão imediata;
- Alterações financeiras ou de folha de pagamento inesperadas, sem comunicação ou autorização prévia.
Códigos QR adulterados de cardápios de restaurantes
Códigos QR falsos podem substituir os códigos de cardápio legítimos de restaurantes. Os criminosos colocam adesivos discretos sobre os códigos originais nas mesas ou em cartazes. Depois da leitura, a vítima pode terminar em um site de cardápio falso.
Sinais de alerta a observar:
- Login por redes sociais;
- Solicitações de dados do cartão para reserva de mesa;
- Solicitações de instalação de aplicativos.
Se o código QR em um cardápio de restaurante solicitar dados pessoais, credenciais de login ou informações de pagamento, feche a página imediatamente.
Solicitações falsas de verificação de conta e redefinição de senha
Códigos QR podem fingir que são avisos de segurança de contas para roubar dados. Esses e-mails ou cartas dizem que sua conta será suspensa ou que há atividades suspeitas e pedem para você “ler este código QR para verificar sua conta”, que abre uma página de login falsificada.
Provedores legítimos raramente usam códigos QR para corrigir problemas de conta. Acesse diretamente o site ou o aplicativo oficial digitando uma URL conhecida e confiável.
Sinais de alerta a observar:
- Incompatibilidade no endereço da web ou no domínio do remetente;
- Pressão para ler o código e verificar imediatamente;
- Solicitações incomuns de permissão ou de login.
Quem são os alvos principais do quishing?
Os golpes de quishing podem afetar qualquer pessoa que leia códigos QR, mas alguns grupos correm mais risco de serem vítimas:
- Consumidores comuns que usam códigos QR para fazer pagamentos, consultar cardápios, comprar ingressos para eventos e acessar redes Wi-Fi públicas. As pessoas costumam confiar que os códigos QR são conveniências seguras para tarefas simples, o que as torna menos propensas a questionar o que escaneiam;
- Funcionários remotos e aqueles que trabalham em escritórios podem receber e-mails de quishing disfarçados de avisos dos departamentos de TI, RH ou financeiro (de acordo com a Abnormal Security, a chance de executivos de alto escalão de receber ataques com código QR era 42 vezes maior do que dos funcionários comuns no primeiro semestre de 2024⁷);
- Pequenas e médias empresas que usam códigos QR para marketing e faturamento, mas geralmente não têm treinamento maduro de conscientização sobre segurança;
- Setores de alto valor, como financeiro, saúde e governo, em que uma violação pode expor dados financeiros, prontuários de pacientes ou informações confidenciais;
- Usuários que conhecem bem tecnologia também não estão imunes, já que o quishing explora a confiança no contexto físico e na conveniência, não a falta de conhecimentos técnicos.
Como identificar um ataque de quishing
Para identificar um ataque de quishing, é necessário observar vários indícios em relação ao código QR: texto que cria uma sensação de urgência, remetente desconhecido, domínio estranho e o que acontece logo após a leitura do código.
Códigos QR suspeitos ou inesperados
Desconfie de códigos QR que chegam de surpresa por e-mail ou aplicativos de mensagens, ou em panfletos impressos deixados no seu carro ou na caixa de correio. Você pode suspeitar de um ataque de quishing se encontrar mensagens que pressionam você para escanear imediatamente o código. Empresas legítimas raramente enviam códigos QR como a única forma de resolver um problema ou acessar serviços.
Evite escanear códigos QR de remetentes desconhecidos e, em caso de dúvida, use um canal oficial para entrar em contato com o suposto remetente.
Sinais físicos de adulteração ou aparência de algo estranho
Os ataques podem envolver adulteração física, adesivos com códigos QR falsos colados sobre códigos legítimos. Antes de ler o código QR de qualquer placa ou mesa pública, preste atenção em:
- Se há adesivos cobrindo outros códigos ou com bordas descolando;
- Fontes, cores ou marcas diferentes das placas ao redor;
- Códigos colocados em locais aleatórios, como postes de luz ou dentro de elevadores.
Verifique se há códigos QR adulterados antes da leitura. Locais oficiais costumam ter uma identidade visual uniforme, e códigos QR legítimos têm instruções claras ao lado deles.
URLs estranhas, links encurtados ou solicitações de permissão
Antes de clicar para abrir, sempre verifique a prévia da URL mostrada no seu celular antes de tocar em abrir. Tenha cuidado com códigos QR em mensagens que criam um senso de urgência ou que mostram:
- Erros de ortografia, caracteres aleatórios ou domínios desconhecidos;
- Encurtadores de URL de remetentes desconhecidos;
- Solicitações urgentes de credenciais de login, dados de cartão de crédito ou permissões de aplicativos.
Se o seu navegador ou software de segurança mostrar algum aviso, ou se algo parecer estranho no site, feche a página imediatamente.
Como se proteger do quishing
Você não precisa evitar completamente os códigos QR. Basta tratar cada um como um link desconhecido até que se prove o contrário. A maioria dos ataques de quishing pode ser evitada com uma combinação de hábitos prudentes e ferramentas básicas de segurança:
Hábitos de escaneamento mais seguros
- Evite escanear códigos QR em e-mails não solicitados, mensagens de texto ou postagens em redes sociais. Acesse diretamente páginas da web ou aplicativos oficiais para pagamentos, entregas e problemas de conta;
- Presencialmente, confirme a legitimidade dos códigos QR perguntando aos funcionários ou comparando com as URLs impressas no mesmo cartaz ou recibo;
- Use aplicativos leitores de código QR que mostram uma prévia das URLs antes de abri-las. Isso oferece uma oportunidade de verificar se o destino é uma URL confiável;
- Verifique a URL antes de inserir dados pessoais. Ao fazer login ou pagamentos, digite uma URL conhecida e confiável em vez de ler com o celular.
Proteções técnicas e ferramentas
- Mantenha sistemas operacionais, navegadores e aplicativos atualizados para aumentar a chance de bloquear exploits conhecidos e sites maliciosos;
- Ative a MFA (autenticação multifator) em contas importantes. Assim, se uma senha for roubada, o acesso dos invasores será dificultado;
- Em dispositivos móveis, use softwares de segurança confiáveis para ajudar a bloquear sites e downloads maliciosos;
- Antes de ler um código, adicione uma camada extra de proteção contra e-mails de phishing com ferramentas como o verificador de golpes por e-mail da Surfshark. Ele marca e-mails que forçam o usuário a agir com urgência, verifica os links contidos e analisa os dados do remetente, alertando se encontrar indícios de golpe (disponível para o Gmail na extensão para o Chrome).
O que fazer se você leu um código QR malicioso
Aja com rapidez para limitar os danos. O mais importante é parar de interagir com o site suspeito imediatamente. Os próximos passos dependem de até onde foi a interação.
Se você apenas leu o código, mas não inseriu dados
Apenas acessar um site de phishing sem interagir é menos perigoso, mas é necessário ter atenção.
- Feche a guia do navegador imediatamente.
- Não toque em nenhum botão nem aceite solicitações de download.
- Limpe as entradas do histórico e o cache do navegador que tenham relação com o site suspeito.
- Nos próximos dias, preste atenção a pop-ups, lentidão do dispositivo ou qualquer comportamento estranho.
- Examine a lista de aplicativos no seu celular e remova imediatamente qualquer aplicativo instalado logo após a leitura do código.
Se você digitou uma senha ou dados pessoais
As vítimas podem ser enganadas para fornecer dados pessoais após a leitura, por isso, agir rápido é fundamental para evitar que os ataques de quishing progridam.
- Altere imediatamente a senha comprometida no serviço afetado e em outras contas que usem a mesma senha.
- Ative a MFA com biometria, aplicativo autenticador ou chave de hardware.
- Verifique a atividade recente da conta, encerre as sessões ativas e veja se aparecem alterações não autorizadas.
- Considere usar um gerenciador de senhas a partir de agora, já que senhas únicas e fortes reduzem o impacto de futuros ataques.
Se você digitou dados de pagamento ou instalou algo
- Entre em contato com seu banco ou emissor do cartão imediatamente para explicar que você sofreu um golpe com código QR e que os dados do cartão podem ter sido expostos. Peça para monitorarem, bloquearem ou reemitirem o cartão.
- Examine as transações recentes e configure alertas para novas cobranças.
- Se você baixou um arquivo ou aplicativo depois que leu o código, desinstale-o e faça uma verificação completa do dispositivo com um software de segurança, como o Surfshark Antivirus. Isso ajuda a detectar conteúdo malicioso que possa ser executado em segundo plano em dispositivos pessoais.
- Se muitos dados pessoais foram expostos, ative o monitoramento de crédito para rastrear possíveis comprometimentos e detectar roubo de identidade o quanto antes.
Monitoramento permanente e denúncia
- Veja se você recebe e-mails para redefinição de senha, alertas de login ou mensagens estranhas relacionados à conta afetada.
- Considere usar ferramentas de segurança como o Surfshark Alert para receber notificações caso seu e-mail ou dados financeiros apareçam na internet após uma violação de dados. Essa é uma ótima maneira de rastrear possíveis comprometimentos após um incidente de quishing.
- Denuncie o ataque à plataforma pertinente (provedor de e-mail, aplicativo de mensagens) e, se for o caso, à equipe de TI da sua empresa ou aos órgãos locais de proteção ao consumidor.
- Tire capturas de tela do código QR fraudulento e dos detalhes do site quando for seguro — isso ajuda as equipes de segurança a investigar e evitar que outras pessoas sejam vítimas.
Quishing x phishing, smishing e vishing
Os ataques de quishing, phishing, smishing (phishing por SMS) e vishing (phishing por voz) têm o mesmo objetivo: enganar as vítimas para que enviem dados ou dinheiro. Em todos os golpes desse tipo, os invasores costumam usar falsificações para fins criminosos, se passando por marcas, números de telefone ou endereços de e-mail confiáveis, para tornar suas mensagens convincentes. A diferença, no entanto, são os canais:
|
|
Canal
|
Iscas comuns
|
Exemplo
|
|
Quishing
|
Códigos QR (digitais ou físicos)
|
Avisos de entrega, pagamentos, descontos
|
Escanear um código QR em uma placa de estacionamento falsa
|
|
Phishing
|
Normalmente e-mail
|
Redefinições de senha, faturas, alertas de conta
|
Clicar em um link em um e-mail que acessa uma página de login bancário falsa
|
|
Smishing
|
Atualizações sobre entregas, suspensões de conta, multas
|
Tocar em um link em uma mensagem sobre uma entrega não efetuada
|
|
|
Vishing
|
Chamadas telefônicas
|
Suporte técnico, alertas de fraude bancária
|
Uma chamada que diz que sua conta foi comprometida
|
Considerações finais: como equilibrar a praticidade dos códigos QR com a segurança
Os códigos QR se tornaram parte do cotidiano para pagamentos, ingressos, cardápios e verificações. Eles vieram para ficar e isso significa que continuarão a ser explorados por criminosos. A boa notícia é que você não precisa deixar de usar completamente os códigos QR. Basta tratar sempre cada um deles como um link não confiável, ter calma, verificar o contexto antes de fazer a leitura e empregar as ferramentas e práticas de segurança que aprendeu neste artigo.
Perguntas frequentes
O código QR em si é perigoso ou apenas o destino para onde ele leva?
Um código QR é apenas um padrão que codifica dados e não é inerentemente perigoso. O perigo vem depois da leitura, com o site, o aplicativo ou a ação efetuada. Códigos QR maliciosos normalmente direcionam para um site de phishing ou solicitam que você baixe um arquivo que pode roubar dados ou instalar malware no seu dispositivo. Apenas ver ou fotografar um código QR sem terminar a leitura é inofensivo.
Ler um código QR pode instalar malware no seu dispositivo?
Na maioria dos celulares modernos, ler um código QR abre uma prévia da URL e é necessário pelo menos um toque na tela para carregar um site ou iniciar um download. O malware geralmente precisa de um toque, uma instalação ou de permissões. No entanto, alguns ataques drive-by podem explorar navegadores ou aplicativos desatualizados, por isso é importante manter seu dispositivo atualizado. Se uma página inesperada aparecer depois de você ler um código, saia imediatamente.
É mais seguro excluir ou denunciar um e-mail de quishing com um código QR?
Para a maioria das pessoas, é mais simples e seguro excluir a mensagem sem interagir com ela. Em contas corporativas, siga as políticas internas, denuncie e-mails suspeitos com códigos QR à sua equipe de TI ou segurança em vez de apenas excluí-los, para que eles possam bloquear a ameaça em toda a empresa.
Para ficar em segurança é melhor evitar completamente os códigos QR?
Não. Muitos códigos QR são legítimos e realmente úteis para ingressos, cardápios e aplicativos. O objetivo não é parar de ler códigos QR totalmente, mas evitar confiar cegamente neles. Verifique a fonte, veja a URL e tenha cautela sempre que houver dinheiro ou dados de login envolvidos. Uma boa regra geral: leia apenas os códigos QR em que você confia e trate todos eles como um possível link de phishing até terminar a verificação.
Referências
- https://keepnetlabs.com/blog/qr-code-phishing-trends-in-depth-analysis-of-rising-quishing-statistics
- https://blog.barracuda.com/2024/10/22/threat-spotlight-evolving-qr-codes-phishing-attacks
- https://www.pcmag.com/news/scammers-stick-fraudulent-qr-codes-on-texas-parking-meters
- https://cfeu.org.uk/beware-of-parking-scams-stay-safe-when-paying-for-parking/
- https://www.ic3.gov/PSA/2021/PSA211104
- https://www.fbi.gov/investigate/cyber/alerts/2025/unsolicited-packages-containing-qr-codes-used-to-initiate-fraud-schemes
- https://abnormal.ai/newsroom/press-releases/h1-2024-threat-report
