O golpe do QR Code, também chamado de quishing, usa um QR Code para levar você a um site falso que rouba senhas, dados do cartão ou dinheiro. Como não dá para ler um QR Code a olho nu, os golpistas escondem links maliciosos dentro dele. A melhor defesa é simples: confira sempre a prévia do link antes de abrir ou pagar.
O QR Code é prático, e é justamente por isso que os criminosos gostam dele. Veja como o quishing funciona e como reconhecer o golpe.
O que é quishing?
Quishing é a junção de "QR" com "phishing". Phishing é qualquer truque em que alguém se passa por uma organização de confiança, como um banco, uma transportadora ou um órgão público, para convencer você a entregar informações sensíveis. O quishing faz a mesma coisa, mas entrega o link falso por meio de um QR Code em vez de um link clicável.
Para os golpistas, isso funciona por alguns motivos:
- Você não enxerga o link. Um QR Code tem a mesma aparência, leve ele para o seu banco ou para uma cópia falsa do site.
- Ele leva você para o celular. Na tela pequena, fica mais difícil conferir a barra de endereço ou perceber um domínio com uma letra trocada.
- Ele pode escapar dos filtros. Filtros de e-mail e de mensagens são bons em detectar links suspeitos no texto, mas um link escondido dentro de uma imagem é mais difícil de pegar.
- As pessoas confiam no QR Code. A gente escaneia códigos em restaurantes e lojas todos os dias e raramente para para pensar.
Órgãos de defesa do consumidor e bancos de vários países já alertaram a população sobre fraudes com QR Code, principalmente códigos falsos em parquímetros, placas de pagamento e e-mails.
Onde o golpe do QR Code aparece
O quishing pode surgir em praticamente qualquer lugar onde um QR Code seja esperado. Os casos mais comuns:
- Adesivos em objetos públicos. Um código falso colado sobre o verdadeiro em parquímetros, carregadores de carro elétrico, estações de bicicleta compartilhada ou pontos de ônibus.
- Balcões de pagamento. Um QR Code de pagamento trocado em uma loja ou banca de feira, que manda o dinheiro para o golpista em vez do comerciante.
- E-mails. Mensagens dizendo que sua senha vai expirar, que um documento precisa ser assinado ou que sua conta foi bloqueada, com um QR Code para "resolver".
- Cartas e avisos de entrega. Falsos avisos de "entrega não realizada" ou cartas com cara de oficiais pedindo para escanear e pagar uma pequena taxa.
- Panfletos e cartazes. Ofertas boas demais para ser verdade, como brindes ou descontos enormes, que levam a uma loja falsa ou a um formulário que coleta seus dados.
- Redes sociais e WhatsApp. Códigos compartilhados em grupos ou mensagens privadas, quase sempre com um tom de urgência.
Para ver situações reais com mais detalhes, confira nosso guia de golpes comuns com QR Code.
Sinais de alerta de um QR Code falso
Você não precisa ser especialista para perceber a maioria dos golpes com QR Code. Fique atento a estes sinais:
- Um adesivo em cima de outro código. Passe o dedo sobre o código. Se estiver em relevo, descolando nas bordas ou parecer mais novo do que a placa em volta, desconfie.
- Um link que não bate. A prévia mostra um domínio que não é o oficial da empresa, tem grafia estranha ou é uma sequência longa de caracteres aleatórios.
- Urgência ou ameaça. "Sua conta será encerrada hoje" ou "pague em até uma hora" é uma tática clássica de pressão.
- Pedido de login ou dados do cartão. Um parquímetro, um cardápio ou um aviso de entrega dificilmente precisa da senha do seu banco.
- Download de app inesperado. Tenha muito cuidado se o QR Code pedir para instalar um aplicativo, principalmente fora da loja oficial.
- QR Code em e-mail pedindo para entrar na conta. Serviços legítimos costumam deixar você entrar acessando o site ou o app diretamente.
- Nome do recebedor errado no pagamento. Se o nome que aparece no app do banco ou na tela do Pix não for o da loja, pare.
Como se proteger do golpe do QR Code
Bons hábitos tornam o quishing muito menos eficaz. Aqui vai um checklist prático:
- Leia a prévia primeiro. A câmera mostra o link antes de abrir. Gaste dois segundos lendo o domínio.
- Na dúvida, vá direto à fonte. Em vez de escanear, digite você mesmo o endereço do site da empresa ou abra o app oficial.
- Confira o recebedor antes de pagar. Os apps de banco mostram quem vai receber o dinheiro. Confirme se é a empresa certa. Nosso guia de segurança no pagamento por QR Code explica isso em detalhes.
- Nunca digite senhas depois de escanear um código desconhecido. Se a página pedir login, feche e entre pelo app oficial.
- Ative a verificação em duas etapas. Mesmo que uma senha seja roubada, um app autenticador cria uma segunda barreira.
- Mantenha o celular atualizado. As atualizações de segurança corrigem falhas que páginas maliciosas poderiam explorar.
- Use um leitor que mostre o destino com segurança. Quando estiver em dúvida, escaneie com uma ferramenta que mostre o destino antes de abrir qualquer coisa.
No QR-TH, todo link curto é verificado no Google Safe Browsing quando é criado e verificado de novo todas as noites. Os visitantes também podem ver uma página de carregamento que mostra para onde o link vai antes de abrir. Ferramentas assim ajudam, mas funcionam melhor junto com o seu próprio bom senso.
O que fazer se você escaneou um QR Code falso
Se perceber que abriu uma página suspeita, aja rápido, mas com calma:
- Feche a página e não digite mais nada.
- Se digitou uma senha, troque-a imediatamente no site verdadeiro e em qualquer outro lugar onde use a mesma senha.
- Se informou dados do cartão ou do banco, fale com o banco na hora, pelo número do cartão ou pelo app oficial.
- Se instalou algum aplicativo, desinstale e rode a verificação de segurança do celular.
- Avise a empresa ou o local para que retirem o código e, se houve perda de dinheiro, registre um boletim de ocorrência.
Nosso passo a passo sobre o que fazer depois de escanear um QR Code malicioso traz mais detalhes.
Dicas para empresas
Se você exibe QR Codes, dá para dificultar bastante a vida dos golpistas. Verifique os códigos impressos com frequência em busca de adesivos, treine a equipe para perceber adulterações e use QR Codes dinâmicos em um domínio que você controla, para acompanhar as estatísticas de leitura e atualizar os links rapidamente. Colocar o nome da empresa ao lado do QR Code de pagamento também ajuda o cliente a confirmar que está pagando a pessoa certa.
FAQ
Escanear um QR Code pode hackear meu celular?
Apenas escanear um QR Code não invade o seu celular. O perigo está no que vem depois: visitar um site falso, digitar dados ou instalar um aplicativo. Confira sempre o link antes de abrir.
Como saber se um QR Code é falso?
Procure adesivos colados sobre outros códigos, leia a prévia do link com atenção e desconfie de qualquer página que peça senha, dados do cartão ou pagamento urgente. Na dúvida, acesse o site oficial diretamente.
QR Code recebido por e-mail é seguro?
Trate com cuidado redobrado. Um QR Code em um e-mail pedindo para entrar na conta, validar um cadastro ou pagar uma taxa é um truque de phishing muito comum. Acesse o serviço diretamente em vez de escanear.
Para quem devo denunciar um golpe do QR Code?
Avise a empresa ou o local onde encontrou o código, fale com o seu banco se houver dinheiro ou dados do cartão envolvidos e registre a ocorrência na polícia ou no órgão de defesa do consumidor da sua região.
O quishing depende de pessoas que escaneiam sem pensar. Uma pausa de dois segundos para ler o link costuma ser suficiente para ficar seguro. Da próxima vez que tiver dúvida sobre um código, use o leitor de QR Code online do QR-TH para ver para onde ele realmente leva antes de abrir.