QR codes falsos e quishing: como identificar um antes de escanear

O que é um QR code falso?

Um QR code falso é um QR code plantado por um golpista que abre uma página de phishing, uma página de pagamento falsa ou um download em vez do que o lugar onde ele está sugere. O padrão é um QR code perfeitamente comum - não há nada nos quadradinhos que o marque como falso. O que torna um código falso é onde ele foi colocado e para onde ele leva.

Um QR code guarda texto, e em quase todo golpe esse texto é um endereço web, que é tudo o que um QR code de URL guarda. Escanear o código não executa nada no celular; a câmera lê o endereço e oferece abri-lo. O estrago começa na página que abre: uma cópia da página de pagamento de uma operadora de estacionamento, uma página de login disfarçada de Microsoft 365, um formulário de reentrega de encomenda pedindo dados do cartão, ou um pedido para instalar um app.

O FBI alertou sobre isso num comunicado de utilidade pública em 18 de janeiro de 2022, dizendo que criminosos estavam adulterando QR codes digitais e físicos para redirecionar vítimas a sites maliciosos que roubam dados de login e financeiros. A FTC repetiu o alerta num aviso ao consumidor em 6 de dezembro de 2023.

O que é quishing?

Quishing é o phishing feito por meio de um QR code em vez de um link clicável, uma palavra que o setor de segurança formou a partir de QR e phishing. O QR code normalmente chega num e-mail ou num anexo em PDF que imita um remetente conhecido - uma redefinição de senha, um aviso de autenticação multifator, um documento compartilhado ou uma entrega de encomenda - e pede que você o escaneie com o celular.

O quishing por e-mail funciona por dois motivos técnicos. Primeiro, o link está dentro de uma imagem: o National Cyber Security Centre do Reino Unido observou em fevereiro de 2024 que nem todas as ferramentas de segurança de e-mail analisam imagens, então um link que seria bloqueado como texto pode passar como QR code. Segundo, escanear leva a vítima de um computador de trabalho para um celular pessoal, que, como a Cisco Talos apontou em fevereiro de 2024, fica fora da maior parte do monitoramento de segurança das empresas.

Os filtros de e-mail estão correndo atrás. A Microsoft disse em novembro de 2024 que o Defender for Office 365 agora consegue extrair URLs escondidas em imagens de QR code logo no início do fluxo de e-mails, para que sejam verificadas como qualquer outro link. Isso diminui a brecha sem fechá-la, porque o mesmo código pode chegar como PDF, carta ou mensagem de texto.

Um sinal separa a maior parte do quishing dos e-mails legítimos: um serviço de verdade raramente pede que você escaneie um QR code de um e-mail no computador para entrar na sua conta. Uma mensagem que manda você pegar o celular e escanear, com urgência, para não perder a conta é o padrão diante do qual parar.

Onde aparecem os QR codes falsos

QR codes falsos aparecem onde as pessoas esperam pagar ou agir rápido e não conseguem conferir com facilidade quem colocou o código ali. A avaliação do NCSC em fevereiro de 2024 foi que a maior parte das fraudes com QR code acontece em espaços abertos, como estações e estacionamentos. Os casos documentados se concentram em poucos cenários:

Várias prefeituras responderam à fraude de estacionamento dizendo com todas as letras que não usam QR codes. Kensington and Chelsea disse em janeiro de 2025 que o seu sistema de estacionamento não usa QR codes de forma alguma, e Hartlepool disse em maio de 2025 que as suas máquinas de pagamento nunca vão usá-los. Um QR code numa máquina cuja operadora diz isso é falso por definição.

Como identificar um QR code falso

Identifique um QR code falso conferindo três coisas antes de abri-lo: se o código é um adesivo por cima de algo, se você esperava um código naquele lugar e se o domínio na prévia do celular pertence à organização com quem você acha que está lidando. A conferência do domínio é a que pega mais golpes, porque é a única que um golpista não consegue falsificar.

O domínio é o nome do site que um link abre, a parte entre https:// e a próxima barra simples. Em https://parking.example-city.gov/pay o domínio é parking.example-city.gov; em https://example-city.gov.pay-now.io ele é pay-now.io, não importa o que diga o começo. Leia da direita para a esquerda: a parte logo antes da primeira barra simples é a que decide onde você está.

Um cadeado ou https no início do link não significa que a página é verdadeira. Significa só que a conexão é criptografada, e páginas de golpe usam https com a mesma frequência que as legítimas.

Como conferir um QR code antes de abrir

Confira um QR code antes de abrir lendo o link que o celular mostra, sem tocar nele. Num iPhone ou iPad, as instruções da Apple são apontar a câmera para o código e depois tocar no link para abri-lo - o intervalo entre esses dois passos é o momento de ler. Os apps de câmera do Android e o Google Lens normalmente mostram o link como um botão para tocar, o que dá a você o mesmo momento para ler.

1. Olhe para o código antes de escanear. Passe o dedo pela borda do código. Um adesivo por cima de um código impresso, um código numa máquina que tem leitor de cartão próprio ou um código num aviso sem o nome de nenhuma organização são motivos para parar aqui.
2. Escaneie com a câmera do próprio celular. Use o app de câmera ou o Google Lens, não um app leitor baixado. O FBI e o NCSC aconselham usar o leitor que já vem no celular.
3. Leia o domínio na prévia. Antes de tocar, leia o domínio que o celular mostra. Ele deve ser o domínio da própria organização, escrito corretamente, sem nada estranho depois.
4. Decodifique uma foto se a prévia não estiver clara. Fotografe o código e abra a foto num leitor de QR code que funcione no navegador, que mostra o link completo como texto sem abri-lo.
5. Vá você mesmo aos pagamentos e logins. Se o código leva a um pagamento ou a um login, feche e digite o endereço da organização ou abra o app oficial dela. O conselho do FBI é evitar pagar por um site ao qual um QR code levou você.

Vale ler o link completo quando a prévia mostra só uma parte dele. A Unit 42, a equipe de pesquisa da Palo Alto Networks, observou em abril de 2025 que os apps de câmera dos celulares mostram só o domínio, e que golpistas fazem as vítimas passar por redirecionamentos em sites legítimos para que o primeiro domínio pareça inofensivo. O KoloQR, um gerador de QR code grátis com QR codes circulares e de formatos personalizados, tem um leitor de QR code que lê uma captura de tela ou uma foto no seu navegador, não envia nada e mostra o link inteiro como texto, incluindo qualquer parâmetro de redirecionamento dentro dele. Para mais formas de ler um código a partir de uma imagem, veja como escanear um QR code a partir de uma imagem.

QR codes são seguros?

QR codes são tão seguros quanto o link ou a ação dentro deles. Escanear um código com a câmera do celular só lê o texto dele; o risco começa quando você abre o link, digita dados na página, instala um app que ela oferece ou aprova uma ação, como entrar numa rede Wi-Fi ou iniciar um pagamento. Um código que você esperava, de uma organização em que você confia, em algo que ela mesma imprimiu, é de baixo risco.

Os próprios celulares já tiveram falhas com QR code, e é por isso que manter o sistema atualizado está na lista da FTC. Em março de 2018, um pesquisador mostrou que o app Câmera do iOS 11 podia exibir um site na prévia e abrir outro; a Apple corrigiu isso no iOS 11.3. Uma prévia confiável depende de um celular atualizado.

Outros conteúdos pedem algo diferente de um link. Um QR code de Wi-Fi pede para entrar numa rede, um código de contato pede para salvar um cartão, e um código de telefone ou SMS preenche uma ligação ou mensagem para você enviar. Leia o que o celular propõe antes de aceitar, exatamente como você leria um link.

Apps leitores baixados aumentam o risco em vez de diminuí-lo. O comunicado do FBI de 2022 diz para não baixar um app leitor de QR code, porque a maioria dos celulares já tem um na câmera. Um leitor separado é mais um app com permissões no seu celular, e ele não lê códigos melhor do que a câmera.

O que fazer se você escaneou um QR code falso

Se você só escaneou um QR code falso e fechou a página, muito provavelmente está tudo bem: ler um link não entrega os seus dados a ninguém. Se você digitou qualquer coisa na página, aja no mesmo dia, na ordem abaixo. O alerta da FTC de janeiro de 2025 dá os mesmos passos para quem digitou informações numa página aberta por um QR code.

1. Dados do cartão ou do banco: ligue para o número no verso do cartão e peça ao banco para bloqueá-lo e revisar os pagamentos recentes.
2. Uma senha: troque-a no site verdadeiro e em todos os outros sites em que você usa a mesma. Ative a autenticação em dois fatores.
3. Um app que você instalou: apague-o e confira nos ajustes do celular se ele adicionou algum perfil de gerenciamento do dispositivo ou alguma permissão.
4. Dados pessoais como endereço ou data de nascimento: confira os seus relatórios de crédito e acompanhe os extratos para ver se aparecem contas novas.
5. Denuncie: à operadora de estacionamento ou à prefeitura, no caso de um adesivo; ao seu provedor de e-mail ou à equipe de TI do seu empregador, no caso de um e-mail; e, nos EUA, ao IC3 do FBI ou à FTC, no Reino Unido, à Action Fraud.

Se o código estava num parquímetro, avise a operadora para que o adesivo seja retirado antes do próximo motorista, e pague o estacionamento pelo caminho oficial para não levar também uma multa de verdade.

Como as empresas podem proteger os seus QR codes impressos

As empresas protegem QR codes impressos principalmente tornando fácil notar um adesivo por cima e fácil conferir o destino verdadeiro. Nenhuma norma oficial trata disso; as medidas abaixo são as práticas que decorrem de como os golpes de estacionamento funcionam, e valem igualmente para um cardápio, uma placa de pagamento ou um cartaz.

• Imprima o domínio embaixo do código. Uma linha como "Abre pay.yourshop.com" dá a quem escaneia algo para comparar com a prévia. Um adesivo teria de cobrir o texto também.
• Imprima o código na placa em vez de colá-lo. Um código impresso na própria arte, plastificado ou atrás de vidro deixa um substituto colado visível na hora.
• Inspecione placas sem supervisão com frequência definida. Algumas prefeituras do Reino Unido que encontraram adesivos falsos agora mandam fiscais conferir as máquinas e retirá-los; uma placa de pagamento que você não vê do balcão merece o mesmo cuidado.
• Use o seu próprio domínio. Um código que abre yourshop.com inspira mais confiança do que um que abre um serviço de links curtos, e continua sob o seu controle.
• Mostre o nome do recebedor nas placas de pagamento. Para um QR code do Venmo ou um QR code do PayPal, imprima o nome de usuário ao lado do código para que quem paga possa compará-lo com a página que abre.
• Diga aos clientes o que você não usa. Se você nunca recebe pagamentos por QR code, diga isso na máquina, como várias prefeituras já fazem.

Códigos estáticos são os mais fáceis de conferir, porque o link impresso no padrão é o destino final. Um código dinâmico passa cada escaneamento por um redirecionamento antes, o que é útil quando o destino precisa mudar, mas significa que o link visível não é a página que abre. QR codes estáticos vs dinâmicos explica quando cada um é a escolha certa.

Precisa de um QR code falso para um mockup ou teste?

Para um mockup de design, um objeto de cena ou uma impressão de teste, use um QR code de verdade que aponte para um endereço reservado e inofensivo, como https://example.com. A RFC 2606 reserva example.com, example.net e example.org para documentação, então o código escaneia, abre uma página de exemplo e nunca pode levar ninguém a um lugar inesperado depois que o domínio muda de dono.

Evite dois atalhos. Um padrão aleatório de quadradinhos que não é um código válido parece errado para quem conhece QR codes e deixa o leitor travado. Um código que aponta para um site real que não é seu - ou para um encurtador de links que pode ser reaproveitado depois - pode mandar quem escaneia o seu mockup para uma página que você nunca viu.

O gerador do KoloQR cria um código de exemplo a partir de qualquer endereço em poucos segundos, no formato e nas cores do design final, para que o mockup mostre o tamanho e a aparência reais. Troque pelo link definitivo antes de a arte ir para a gráfica.