O que é “quishing”? Como funciona o phishing por código QR e como evitá-lo

O “quishing” é uma forma de phishing que utiliza códigos QR. Em vez de um link suspeito em um e-mail, o invasor oculta um site malicioso por trás de um código QR, seja em um cartaz, em um parquímetro ou em um anexo de e-mail. Qualquer pessoa que escanear o código é redirecionada para uma página falsa que coleta credenciais de login ou detalhes de pagamento, ou que instala malware.

O truque funciona porque um código QR oculta o destino. Enquanto você ainda pode passar o mouse sobre um link em um e-mail, um código QR não dá nenhuma pista sobre onde você será direcionado. Neste artigo, explicamos como funciona um ataque de “quishing”, por que essa forma de phishing está em ascensão e como proteger sua organização.

Significado de “quishing”: o que esse termo significa?

“Quishing” é uma contração de “QR” e “phishing”. O objetivo é o mesmo de qualquer ataque de phishing: induzir alguém a fornecer credenciais, aprovar um pagamento ou baixar malware. A única diferença está no método de execução. O invasor não usa um link clicável, mas sim um código QR que leva à página maliciosa.

Esse botão é mais do que um mero artifício. Desde o início da pandemia, escaneamos códigos QR sem pensar, seja para ver cardápios, efetuar pagamentos, pagar estacionamento ou fazer login. Os invasores exploram exatamente esse reflexo adquirido: escanear parece algo rotineiro, não arriscado.

Como funciona o “quishing”?

Um ataque típico de quishing segue quatro etapas:

• O invasor cria um código QR que direciona para um site falso, geralmente uma imitação de uma página de login do Microsoft 365, de um banco ou de um provedor de pagamentos.
• O código é distribuído por e-mail, carta, folheto ou na forma de um adesivo colado sobre um código QR legítimo em um local público.
• A vítima escaneia o código com um celular. Esse é o passo crucial: o ataque passa de um laptop corporativo gerenciado, com filtros e software de segurança, para um smartphone particular, que geralmente é muito menos protegido.
• A página falsa cumpre seu papel. A vítima faz login na página falsificada, e o invasor captura as credenciais, às vezes incluindo a sessão de autenticação multifatorial (MFA).

Em ambientes corporativos, a variante mais comum é um e-mail que parece ter sido enviado pelo departamento de TI ou pela Microsoft: suas configurações de MFA supostamente expiram e você precisa escanear o código para se autenticar novamente. O e-mail em si não contém nenhum link clicável, o que é exatamente o que o faz parecer inofensivo.

Por que o phishing com códigos QR é tão eficaz

O Quishing resolve dois problemas que os invasores enfrentam com os e-mails clássicos de phishing.

Primeiro: os filtros de e-mail analisam o texto e verificam os links, mas um código QR é uma imagem. A URL maliciosa fica invisível, não apenas para o destinatário, mas também para grande parte das ferramentas de segurança. Mensagens que seriam bloqueadas instantaneamente se contivessem um link normal passam despercebidas quando contêm um código QR.

Segundo: o ataque leva a vítima a usar seu celular. Em uma tela pequena, é mais difícil verificar a barra de endereço, o URL costuma ficar parcialmente oculto e as proteções corporativas, como a filtragem da web, muitas vezes não estão presentes em dispositivos pessoais. O invasor atrai a vítima para fora do ambiente protegido, exatamente no momento em que o ataque começa.

O “quishing” na prática: um código QR falso pode estar em qualquer lugar

O ponto forte dessa forma de fraude é que um código QR fraudulento pode estar em qualquer lugar onde um código normal possa estar: em uma máquina, na sua caixa de correio, na sua caixa de entrada ou na parede do escritório. Todos esses cenários já aconteceram de fato:

• O código QR falso no parquímetro. Em novembro de 2024, a polícia holandesa e a ANWB alertaram sobre adesivos com códigos QR falsos em parquímetros, entre outros locais, em Amsterdã, Maastricht e Sittard-Geleen. O código levava a uma imitação de um aplicativo de estacionamento conhecido; a “taxa de estacionamento” e os dados do cartão iam diretamente para os criminosos.
• A carta do “banco”. Os fraudadores enviam cartas em papel timbrado de banco que parecem convincentes: seu cartão de débito supostamente precisa ser substituído e você escaneia o código QR para dar andamento ao processo. O site Veilig Bankieren alerta sobre essa forma de fraude, justamente porque uma carta em papel transmite mais confiança do que um e-mail.
• O e-mail do MFA no trabalho. “Seu autenticador expira hoje; escaneie este código para manter o acesso.” A urgência, aliada a um processo familiar, faz com que essa seja a variante mais bem-sucedida no ambiente de trabalho.
• A fatura falsa ou o pedido de assinatura. Um documento que parece ter sido enviado pela DocuSign ou por um fornecedor, com um código QR para “visualizar” ou “assinar” a fatura.
• O cartaz ou folheto no escritório. Um anúncio sobre uma festa dos funcionários ou uma nova política de estacionamento, com um código QR que ninguém questiona.

Quishing, phishing, smishing e vishing: qual é a diferença?

Todas as quatro são formas de engenharia social; a diferença está no canal. O phishing clássico é feito por e-mail, com um link ou anexo. O smishing usa mensagens de texto e aplicativos de mensagens, o vishing ocorre por telefone e o quishing usa códigos QR como porta de entrada. Na prática, os invasores combinam os canais: um e-mail de quishing no trabalho, seguido por uma ligação do “suporte técnico” perguntando se o login deu certo.

Quer ter uma visão geral completa dessas variantes e de outros métodos de ataque? Leia nosso artigo sobre os tipos mais comuns de ataques de phishing.

Como proteger sua organização contra o quishing

Faça do comportamento a primeira linha de defesa. Justamente porque a tecnologia tem dificuldade em identificar códigos QR, o reconhecimento por parte dos funcionários é mais importante do que no caso do phishing comum. O treinamento de conscientização em segurança ensina à sua equipe o reflexo que importa neste caso: trate um código QR inesperado exatamente como um link inesperado. Não o escaneie nem verifique a pré-visualização da URL após o escaneamento antes de clicar nele.

Faça testes com simulações realistas. Uma simulação de phishing mostra quem cai em quais armadilhas e transforma um clique errado em um momento de aprendizado, em vez de um incidente. Testes recorrentes mantêm a atenção em alta e mostram se o comportamento realmente melhora.

Elimine as lacunas técnicas. Opte por uma autenticação multifatorial (MFA) resistente a phishing sempre que possível, proteja os dispositivos móveis que acessam os dados da empresa e facilite a comunicação de incidentes: um funcionário que denuncie um e-mail suspeito com código QR em menos de um minuto protege todos os colegas que receberam a mesma mensagem.

Perguntas frequentes

O que acontece se você escanear um código QR de phishing?

A simples leitura do código, por si só, geralmente não causa danos. O risco está no que vem a seguir: a página que o código abre. Contanto que você não faça login, não insira dados nem baixe nada, o dano costuma ser limitado. Você inseriu credenciais? Altere sua senha imediatamente e avise o departamento de TI.

Como reconhecer um código QR falso?

Observe o contexto antes de escanear: um adesivo colado sobre outro código, uma solicitação de pagamento onde você não esperaria encontrar uma, ou um e-mail que insiste para que você escaneie com o celular são todos sinais de alerta. Após escanear, sempre verifique a URL exibida pela câmera antes de abrir a página.

Um filtro de spam impede que os e-mails sejam “quished”?

Na maioria das vezes, não. A maioria dos filtros verifica links e textos, e um código QR é uma imagem sem um link legível. Atualmente, alguns fornecedores de segurança verificam códigos QR em e-mails, mas a detecção ainda fica aquém da detecção de phishing clássico. É exatamente por isso que funcionários atentos são a medida mais importante.

O “quishing” não é um novo tipo de fraude, mas sim uma nova forma de apresentar um truque antigo: levar alguém a uma página falsa e fazer com que a própria vítima realize a ação. As equipes que reconhecem esse padrão não se limitam a verificar os links nos e-mails; elas também ficam atentas àquele pequeno quadradinho de aparência inocente.