No estacionamento do shopping, o adesivo com o QR code estava levemente torto sobre a placa de pagamento, com um dos cantos levantado. Quem apontou a câmera caiu numa página idêntica à do aplicativo da empresa, digitou o cartão e pagou a tarifa. O dinheiro não chegou a lugar nenhum. O golpe custou o preço de uma folha de adesivo impressa.
Esse formato ganhou nome próprio: quishing, phishing embrulhado num QR code. A técnica não tem nada de sofisticado: o que a torna eficiente é que o link deixa de ser texto e vira imagem, e isso muda tudo para quem filtra mensagens automaticamente.
Por que um quadradinho passa por filtros que leem texto
Um filtro de e-mail trabalha em cima do conteúdo da mensagem: extrai as URLs, compara com listas de domínios ligados a fraude, checa reputação e às vezes abre o link num ambiente isolado para ver onde ele vai dar. Todo esse maquinário depende de existir uma URL para analisar. Num QR code, o destino está codificado em pixels pretos e brancos dentro de uma imagem. Para o filtro, aquilo é uma figura como outra qualquer — e uma mensagem curta, educada, sem link nenhum, tem exatamente a cara de uma mensagem legítima.
Some a isso o pulo de aparelho. O e-mail chega no computador da empresa, protegido por gateway, proxy e antivírus gerenciado; o código é escaneado com o celular pessoal, que não tem nada disso. A proteção fica de um lado e o clique acontece do outro. É por isso que a técnica cresceu tanto em escritório, e não porque as pessoas ficaram menos atentas.
Os cenários se repetem. Adesivos colados sobre códigos legítimos em parquímetros e carregadores de carro elétrico. Avisos de reentrega de encomenda com uma pequena taxa pendente. PDFs de fatura em que o corpo do e-mail não tem texto suspeito nenhum, só o quadradinho. E o que mais pega gente de escritório: um comunicado dizendo que a autenticação em dois fatores precisa ser reinscrita e que basta escanear o código com o celular. O tom é sempre administrativo, quase entediado — nunca dramático, porque drama levanta suspeita. O texto ao redor do quadradinho merece o mesmo rigor de qualquer mensagem suspeita, e o checklist de vinte segundos para identificar phishing continua valendo quando o link vira imagem.
Ler o domínio antes de apontar a câmera
Quase todo aplicativo de câmera mostra a URL antes de abrir a página. Esse é o momento decisivo, e ele dura um segundo: a maioria das pessoas toca na notificação sem ler uma letra. Leia. Se a pré-visualização não aparecer, esse já é motivo para não seguir adiante.
A parte que interessa é o domínio, o trecho imediatamente à esquerda da primeira barra sozinha. Num endereço como "acesso-seguro.bancoexemplo.com.br.verificacao-cliente.xyz/login", tudo que está antes de "/login" é endereço, e o dono do endereço é "verificacao-cliente.xyz". O nome do banco ali é enfeite, posto como subdomínio porque a tela estreita do celular corta o final e mostra o começo. Leia de trás para a frente, a partir da primeira barra, e ignore as palavras impressionantes do caminho.
Olhe também as letras que se imitam — "rn" fingindo ser "m", o "l" minúsculo que parece um "i" maiúsculo, zero no lugar da letra "o" — e desconfie de encurtadores em qualquer comunicação oficial. Banco, operadora e departamento de pessoal não mandam link encurtado.
Quando a dúvida é sobre o remetente, e não sobre o link, um verificador de endereços de e-mail ajuda a ver se aquele endereço existe de fato ou se o domínio foi registrado na semana passada só para essa campanha.
No mundo físico a checagem é mais simples ainda. Um código de pagamento legítimo costuma vir impresso na própria placa, na mesma tinta do resto da arte, e não colado por cima. Adesivo com borda levantada, papel diferente ou código que cobre um pedaço do texto original: qualquer um desses sinais basta para não escanear e procurar o aplicativo oficial ou a máquina de cartão.
Quando a página pede a senha e o código ao vivo
Aqui está o sinal mais confiável de todos. Você escaneou, caiu numa tela de login, digitou usuário e senha e a página pede o código de seis dígitos do aplicativo autenticador. Parece rigor de segurança. É o contrário: é um relay em tempo real. Do outro lado, um servidor recebe o que você digita e repassa na hora para o site verdadeiro. Ele entra com a sua senha e com o seu código, e o que guarda no fim é o cookie de sessão — a partir daí está dentro da conta sem precisar de mais nada seu.
A consequência merece ser dita com todas as letras: o código funcionar não prova nada. Muita gente lê o "deu certo" como prova de que a página era autêntica, quando nesse ataque ele é exatamente o que acontece no instante em que a sessão foi entregue. Se você chegou a uma tela de login vindo de um QR code, um código correto não é evidência de segurança. Os limites de cada fator estão comparados em app autenticador contra 2FA por SMS.
O que resiste de verdade a esse ataque é a autenticação ligada ao domínio: passkeys e chaves de segurança físicas. A chave assina uma resposta que só é válida para o endereço real; diante de um domínio parecido, ela simplesmente não responde, e o usuário nem precisa perceber que foi salvo. Isso não anula o valor do aplicativo autenticador, que segue muito melhor do que SMS — inclusive quando você precisa gerar um código TOTP fora do celular, o que dá para fazer com um gerador de códigos 2FA no navegador. Mas contra quishing bem executado, quem fecha a porta é o vínculo com o domínio.
Se você já escaneou e digitou
A primeira regra é trocar de aparelho: faça tudo de outro dispositivo, não do celular que abriu a página. Entre na conta pelo caminho normal, digitando o endereço você mesmo ou pelo favorito de sempre, troque a senha e use a opção de encerrar todas as sessões ativas. Essa segunda etapa é a que realmente derruba o cookie roubado. Trocar a senha sem encerrar as sessões deixa o invasor logado do lado de dentro.
Depois vem a parte que quase todo mundo pula, que é limpar a persistência. Confira os endereços de recuperação e os telefones cadastrados, procure regras de encaminhamento criadas na caixa de entrada, revise as senhas de aplicativo e os aplicativos de terceiros autorizados, e veja se apareceu algum método de dois fatores que você não configurou. Quinze minutos de sessão bastam para criar uma regra que copia sua correspondência para fora; você recupera a conta e a cópia continua saindo em silêncio.
Por fim, avise quem administra a conta: a equipe de TI ou o suporte do serviço. Se o mesmo comunicado chegou a você, chegou a outras pessoas, e bloquear o domínio protege o resto da equipe. Antes de responder a qualquer endereço que se apresenta como interno, confirme com um verificador de e-mail se ele realmente existe no domínio da empresa.
Vale ainda reduzir a superfície: boa parte dessas mensagens chega porque o endereço circulou em cadastros passageiros, como wi-fi de shopping e promoção de loja. Para esse tipo de coisa, um endereço de e-mail temporário mantém o endereço principal fora das listas que acabam vazando e sendo revendidas. Menos listas, menos iscas chegando.
Perguntas frequentes
Escanear um QR code malicioso já infecta o celular?
Não por si só. Um QR code é apenas um texto codificado, quase sempre uma URL, e escanear equivale a digitar esse endereço no navegador. O estrago vem do que acontece depois: a página falsa que coleta senha e código, ou um arquivo que você instala. Se você escaneou e não digitou nada, feche a aba e siga a vida.
Dá para saber se um QR code é falso só de olhar para ele?
Não, porque o desenho dos pixels não carrega nenhum sinal visível de intenção. A avaliação acontece em dois outros lugares: no suporte físico, onde adesivo colado sobre um código impresso é suspeito, e na pré-visualização da URL. Nenhuma das duas checagens exige conhecimento técnico.
O antivírus ou o filtro da empresa não bloqueiam essas páginas?
Às vezes bloqueiam, mas com atraso. Esses domínios costumam viver poucas horas, justamente para operar antes de aparecer em qualquer lista de bloqueio. Além disso, o escaneamento acontece no celular pessoal, fora da rede da empresa, onde nenhum filtro corporativo alcança.
