Se você escaneou um QR Code malicioso, não entre em pânico: na maioria dos casos, a leitura em si não causou nenhum dano. O risco real está no que aconteceu depois. Feche a página e verifique se você digitou alguma senha, informou dados do cartão, pagou algo, instalou um aplicativo ou concedeu permissões, e aja em cada um desses pontos imediatamente.
Primeiro, entenda o que realmente aconteceu
Um QR Code é só uma forma de guardar texto, normalmente um endereço da web. Quando a câmera lê o código, o celular costuma mostrar o link e esperar você tocar nele. Por isso, a pergunta importante não é "Eu escaneei?", e sim "O que eu fiz depois de escanear?"
Pense com calma e seja honesto com você mesmo. Você:
- Só viu a prévia e fechou sem abrir nada?
- Abriu uma página, mas não digitou nada?
- Digitou usuário, senha ou código de verificação em uma página de login?
- Informou dados do cartão, dados bancários ou dados pessoais, como CPF ou endereço?
- Pagou algo, por exemplo por um Pix com QR Code ou por uma página falsa de estacionamento ou de entrega?
- Baixou e instalou um aplicativo ou um "perfil", ou permitiu notificações?
Cada resposta leva a um próximo passo diferente. Se você só viu a prévia, quase com certeza está tudo bem. Se só abriu uma página e não digitou nada, o risco é baixo, mas ainda vale fazer algumas verificações rápidas.
Passo a passo: o que fazer agora
Siga esta lista de cima para baixo. Pule os passos que não se aplicam a você.
- Feche a página e desconecte se algo parecer errado. Feche a aba do navegador. Se começou um download ou o celular está se comportando de forma estranha, ative o modo avião enquanto verifica.
- Troque qualquer senha que você digitou. Faça isso pelo aplicativo oficial ou digitando você mesmo o endereço verdadeiro do site, nunca por um link da página suspeita. Se você usa a mesma senha em outros lugares, troque lá também.
- Ative a verificação em duas etapas. Adicione um aplicativo autenticador à conta que você acabou de proteger, para que uma senha roubada sozinha não baste. Nosso guia de verificação em duas etapas explica como.
- Ligue para o banco se você compartilhou dados financeiros ou pagou. Use o número que está no verso do cartão ou no aplicativo oficial do banco. Peça o bloqueio do cartão, o monitoramento de transações incomuns e informações sobre como contestar ou tentar recuperar o pagamento. No caso do Pix, pergunte sobre o Mecanismo Especial de Devolução (MED). A rapidez é essencial aqui.
- Remova o que você instalou. Apague aplicativos desconhecidos, perfis de configuração ou extensões do navegador. No Android, verifique se nenhum aplicativo desconhecido tem acesso de acessibilidade ou de administrador do dispositivo. Revogue nas configurações do navegador as permissões de notificação que você deu a sites estranhos.
- Encerre as outras sessões. Muitos serviços, como e-mail e redes sociais, mostram as sessões ativas e permitem sair de todos os outros aparelhos. Faça isso depois de trocar a senha.
- Atualize o celular e faça uma verificação de segurança. Instale as atualizações de sistema pendentes. No Android, rode o Google Play Protect; em qualquer celular, revise os aplicativos instalados recentemente.
- Denuncie. Avise o banco, a empresa que foi imitada e, quando fizer sentido, registre um boletim de ocorrência ou use o canal oficial de denúncia de fraudes. Se o QR Code estava em uma placa ou parquímetro, avise a empresa ou o órgão responsável para que ele seja retirado.
Se você digitou uma senha ou um código de verificação
Páginas de phishing por trás de QR Codes geralmente copiam uma tela de login conhecida, como a de um provedor de e-mail, de uma transportadora ou de um banco. Os golpistas costumam testar os dados roubados na hora, às vezes em poucos minutos.
Depois de trocar a senha, procure na conta sinais de alteração:
- Novas regras de encaminhamento ou filtros no seu e-mail
- Telefone ou e-mail de recuperação alterados
- Aparelhos ou locais desconhecidos no histórico de segurança ou de login
- Mensagens enviadas da sua conta que você não escreveu
Se você digitou na página falsa um código recebido por SMS ou gerado por um aplicativo autenticador, considere que o golpista pode ter usado esse código para entrar. Troque a senha, encerre todas as sessões e confira as configurações de recuperação imediatamente.
Se você pagou ou informou dados do cartão
Entre em contato com o banco ou com a carteira digital pelos canais oficiais o quanto antes. Explique que foi enganado por meio de um QR Code, informe o horário e o valor e siga as orientações. Guarde capturas de tela do comprovante, do nome do recebedor exibido e da página em que você caiu.
Acompanhe também seus extratos nas semanas seguintes. Golpistas às vezes testam um cartão com uma cobrança pequena antes de tentar uma maior. Se você informou CPF ou endereço, redobre o cuidado com ligações, mensagens ou e-mails que parecem "conhecer" você, porque essas informações podem tornar golpes futuros mais convincentes.
Sobre QR Codes de pagamento em especial, leia como pagar com QR Code com segurança, que mostra como conferir o nome do recebedor antes de confirmar.
Se você instalou um aplicativo ou perfil
Aplicativos instalados fora das lojas oficiais, e perfis de configuração no iPhone, podem ser usados para espionar o que você faz ou roubar dados. Remova-os primeiro e depois confira:
- Configurações de gerenciamento do dispositivo ou perfis, apagando tudo o que você não reconhece
- Permissões de acessibilidade e de administrador do dispositivo no Android, que aplicativos maliciosos costumam pedir
- Permissões de notificação do navegador, que sites de golpe usam para mostrar alertas falsos
Se não conseguir remover algo, ou se o celular continuar mostrando pop-ups, faça backup das fotos e dos dados importantes e considere restaurar as configurações de fábrica. Depois, reinstale aplicativos apenas pela loja oficial.
Como evitar da próxima vez
Os golpes com QR Code funcionam porque o código esconde o destino. Alguns hábitos fecham essa brecha:
- Leia a prévia do link antes de tocar. Confira o domínio com atenção, procurando erros de digitação ou palavras a mais.
- Desconfie de QR Codes colados por cima de outros códigos, principalmente em parquímetros, cartazes e maquininhas de pagamento.
- Nunca faça login ou pague em uma página que você acessou por um QR Code inesperado. Abra o aplicativo oficial.
- Trate a urgência como sinal de alerta. "Pague agora para evitar multa" ou "sua encomenda será devolvida" são táticas de pressão clássicas.
Se estiver em dúvida sobre um código, você pode ler o QR Code online com o QR-TH primeiro. Ele lê o código no navegador e mostra o destino antes de abrir qualquer coisa, para você decidir com calma. Para mais sinais de alerta, veja nosso guia sobre golpe do QR Code e quishing.
FAQ
Só escanear um QR Code pode hackear meu celular?
É muito improvável. Em um celular atualizado, a leitura normalmente só exibe um texto ou um link. O dano costuma vir de abrir uma página maliciosa e depois digitar informações, pagar ou instalar algo.
Abri o link, mas não digitei nada. Estou seguro?
O risco é baixo. Feche a página, remova as permissões desse site se você concedeu alguma e mantenha o celular e o navegador atualizados. Se algo foi baixado, apague sem abrir.
Devo restaurar o celular para as configurações de fábrica?
Só se você instalou algo que não consegue remover ou se o celular continua se comportando de forma anormal depois da limpeza. Para senhas ou dados de cartão roubados, restaurar não resolve; trocar as senhas e falar com o banco, sim.
Para quem devo denunciar um golpe do QR Code?
Para o seu banco, se houver dinheiro envolvido, para a empresa que foi imitada e para a polícia ou o canal oficial de denúncia de fraudes. Se o código estava em uma placa pública, avise o responsável por ela.
Uma leitura suspeita assusta, mas agir rápido limita o estrago em quase todos os casos. Da próxima vez que um código parecer estranho, confira antes de abrir: use o leitor online grátis do QR-TH para ver exatamente para onde o QR Code leva.