Um e-mail de phishing com QR Code pede que você escaneie um código, geralmente para "revalidar" uma conta, assinar um documento ou redefinir uma senha. Os golpistas usam QR Codes porque os filtros de e-mail podem ter dificuldade para ler o link dentro de uma imagem, e porque a leitura leva você para o celular, onde páginas de login falsas são mais difíceis de perceber.
O phishing existe desde que o e-mail existe, mas a versão com QR Code, muitas vezes chamada de quishing, é uma novidade. Em vez de um link azul sobre o qual você pode passar o mouse, aparece uma imagem quadrada. Este guia explica por que os golpistas gostam desse método, como esses e-mails costumam ser e o que funcionários e empresas podem fazer para se proteger.
Por que golpistas colocam QR Codes em e-mails
Do ponto de vista do criminoso, um QR Code resolve vários problemas de uma vez.
- Ele esconde o link. As pessoas não conseguem ler um QR Code, então não percebem um endereço suspeito de relance.
- Ele pode passar pelos filtros. Muitas ferramentas de segurança de e-mail comparam links em texto com listas de sites maliciosos conhecidos. Um link dentro de uma imagem é mais difícil de inspecionar, embora as ferramentas modernas cada vez mais analisem imagens também.
- Ele leva você para outro aparelho. Você lê o e-mail no notebook do trabalho, protegido pela segurança da empresa, mas escaneia com o celular pessoal, que pode ter menos proteções.
- Telas pequenas escondem detalhes. No celular, a barra de endereço é curta, e uma página de login falsa fica muito parecida com a verdadeira.
- Parece moderno e oficial. Bancos, companhias aéreas e empregadores usam QR Codes, então um código em um e-mail não desperta suspeita automaticamente.
Como é um e-mail de phishing com QR Code
Esses e-mails variam, mas costumam seguir padrões conhecidos. Temas comuns:
- "Sua senha expira hoje. Escaneie para manter a senha atual."
- "A autenticação multifator precisa ser reativada. Escaneie com o seu celular."
- "Há um documento compartilhado esperando por você. Escaneie para visualizar."
- "As informações do seu salário ou bônus foram atualizadas."
- "Uma encomenda ou nota fiscal precisa da sua confirmação."
Sinais de alerta típicos:
- Urgência: um prazo curto ou a ameaça de bloqueio da conta.
- Remetente estranho: o nome exibido diz "Suporte de TI" ou uma marca conhecida, mas o endereço de e-mail não corresponde.
- Pouco texto, código grande: a mensagem é quase só uma imagem com um QR Code e uma instrução curta.
- Saudação genérica em vez do seu nome.
- Uma página de login depois da leitura: o código leva a uma página que pede seu e-mail corporativo e senha, ou um código de verificação.
O último ponto é o mais importante. Um setor de TI de verdade raramente precisa que você faça login por um QR Code enviado por e-mail.
O que fazer se você receber um
Se você é funcionário e chega um e-mail suspeito com QR Code:
- Não escaneie com o celular.
- Não encaminhe para colegas perguntando se é verdadeiro, porque alguém pode escanear.
- Denuncie usando o botão de reportar phishing da empresa ou falando com a TI por um canal conhecido.
- Verifique a conta você mesmo. Se o e-mail fala da sua senha ou de um documento, acesse o serviço diretamente pelo endereço ou aplicativo de sempre.
- Apague depois de denunciar, se o processo da empresa orientar assim.
Se você já escaneou o código e digitou seus dados, aja rápido. Troque a senha, avise a TI imediatamente e siga os passos do nosso guia sobre o que fazer depois de escanear um QR Code malicioso.
Fora do trabalho, os mesmos hábitos valem. Se quiser saber para onde um código leva sem abri-lo, um leitor que mostra o destino primeiro, como o leitor de QR Code online do QR-TH, permite olhar antes de clicar.
Como as empresas protegem seus funcionários
Nenhuma ferramenta sozinha impede todas as tentativas de phishing com QR Code. Uma boa proteção combina tecnologia, processos e pessoas.
Ferramentas de e-mail e segurança
- Use uma solução de segurança de e-mail que detecte QR Codes em imagens e anexos e verifique os links que eles contêm
- Mantenha a verificação de links e a proteção de navegação segura ativas nos aparelhos da empresa e, quando fizer sentido, nos celulares gerenciados
- Sinalize claramente e-mails de fora da organização, principalmente os que usam nomes que parecem internos
Proteção forte no login
- Exija autenticação multifator em todas as contas de funcionários
- Prefira métodos resistentes a phishing, como passkeys ou chaves de segurança, sempre que possível, já que códigos de uso único ainda podem ser roubados em uma página falsa
- Incentive aplicativos autenticadores em vez de SMS. Nosso guia de verificação em duas etapas explica as opções.
- Monitore logins incomuns, como acessos de países ou aparelhos novos
Processos claros
- Deixe conhecida a regra de que a TI nunca pede para os funcionários fazerem login por QR Code em um e-mail
- Ofereça um jeito simples de denunciar mensagens suspeitas e agradeça a quem usa
- Tenha um plano para redefinir senhas e encerrar sessões rapidamente quando alguém relatar um erro
Treinamento que fica na memória
- Mostre exemplos realistas de e-mails de phishing com QR Code nos treinamentos
- Ensine a pergunta simples: "Por que isso precisaria de um QR Code?"
- Faça simulações de phishing que incluam QR Codes, seguidas de um retorno amigável, sem culpar ninguém
Funcionários que se sentem seguros para relatar erros relatam mais rápido, e isso limita o estrago.
QR Codes legítimos em e-mails
Nem todo QR Code em um e-mail é malicioso. Ingressos de eventos, cartões de embarque e alguns pareamentos de login usam QR Codes de forma legítima. A diferença normalmente está no contexto: você esperava o e-mail, ele tem a ver com algo que você fez, e o código é algo que você apresenta ou usa em um aplicativo conhecido, não um motivo para digitar sua senha em uma página desconhecida.
Empresas que enviam QR Codes de verdade podem ajudar explicando o que o código faz, colocando por perto um link reconhecível como alternativa e usando domínios confiáveis.
FAQ
Por que e-mails de phishing usam QR Code em vez de links?
Porque o link fica escondido tanto das pessoas quanto de alguns filtros, e porque a leitura leva a vítima para o celular, onde os controles de segurança e as pistas visuais costumam ser mais fracos.
Meu provedor de e-mail consegue bloquear phishing com QR Code?
Muitos serviços de segurança de e-mail já analisam imagens em busca de QR Codes e verificam os links, mas nenhum pega tudo. A sua atenção continua sendo uma camada importante.
É seguro escanear um QR Code em um e-mail do meu banco?
Tenha cautela. Bancos raramente pedem que você faça login por um QR Code enviado por e-mail. Abra o aplicativo oficial do banco ou digite o endereço você mesmo.
O que fazer se eu digitei minha senha do trabalho depois de escanear?
Troque a senha imediatamente, avise a equipe de TI ou de segurança e deixe que verifiquem se houve logins suspeitos. A rapidez faz muita diferença.
Olhe antes de abrir
O phishing com QR Code funciona quando as pessoas escaneiam sem pensar. Faça da verificação um hábito: quando chegar um código inesperado, use a ferramenta ler QR Code online do QR-TH para ver para onde ele vai antes de abrir qualquer coisa.