Quishing: phishing por QR code: como funciona, sinais de alerta e o que fazer
Engenharia social · médio
No e-mail, o golpista envia um QR code dentro de imagem ou PDF com o pretexto de renovar autenticação, ver holerite ou assinar um contrato. Como o link não aparece em texto, filtros de segurança podem não detectá-lo, e a leitura no celular leva a uma página falsa de login corporativo.
No mundo físico, adesivos com QR falsos são colados sobre os originais em parquímetros, estações de recarga, cardápios e cartazes, levando a páginas de pagamento falsas. Há ainda QR enviados por correio ou entregues em panfletos.
O relatório anual do APWG destacou o crescimento de golpes via redes sociais, SMS, e-mail e QR code.
Sinais / Signs
- QR code em e-mail pedindo login, MFA ou assinatura urgente
- Adesivo colado por cima de outro QR ou com bordas descoladas
- Endereço exibido pelo leitor diferente da marca esperada
- Página que pede cartão para pagar estacionamento fora do app oficial
- Pedido de baixar app a partir do QR
Prevenção / Prevention
- Antes de abrir, confira o endereço que o leitor mostra
- Pague estacionamento e serviços pelo app oficial baixado da loja
- Empresas: trate QR em e-mail como link suspeito e treine equipes
- Não faça login corporativo a partir de QR recebido por e-mail
- Prefira digitar o endereço do serviço
O que fazer / What to do
- Se digitou senha, troque-a e encerre sessões ativas
- Se pagou com cartão, avise o banco e conteste
- Avise a TI da empresa ou o estabelecimento sobre o QR falso
- Denuncie na FTC (EUA) ou no CERT.br (Brasil)
FAQ
Ler um QR code já pode infectar o celular?
Ler em si raramente causa dano; o risco está em abrir o site, digitar dados ou instalar o que ele oferece.
O QR do Pix também pode ser falso?
Sim. Antes de confirmar, confira no app do banco o nome e o documento do recebedor.
Radar
- — Trezor: violação em parceiro de envio alimenta ataques de phishing. Dados vazados de um parceiro logístico da fabricante de carteiras cripto passaram a ser usados em phishing contra clientes. Fonte: Help Net Security
- — Xsolis: phishing leva a violação com dados de 1,4 milhão de pessoas. A empresa de tecnologia para saúde atribuiu a violação a um ataque de phishing. Fonte: Help Net Security
- — APWG: phishing bate recorde de 1,13 milhão de ataques no 2º trimestre de 2025 · 1,13 mi (2T25). O volume recuou para 853 mil no 4º trimestre; redes sociais e SaaS/webmail foram os setores mais visados (20,3% cada). Fonte: APWG Phishing Activity Trends Q4 2025
- — Kaspersky bloqueia 553 milhões de ataques de phishing no Brasil em 12 meses · 553 mi bloqueios. São 1,5 milhão por dia e 42,8% do total da América Latina, onde os bloqueios cresceram 85%, para 1,29 bi. Fonte: Kaspersky, Panorama de Ameaças 2025 (via InfoMoney)