O que é o «quishing»? Como funciona o phishing com códigos QR e como o evitar

O «quishing» é o phishing através de códigos QR. Em vez de um link suspeito num e-mail, o atacante esconde um site malicioso por trás de um código QR, num cartaz, num parquímetro ou num anexo de e-mail. Quem digitalizar o código vai parar a uma página falsa que recolhe credenciais de login ou dados de pagamento, ou que instala malware.

O truque funciona porque um código QR esconde o destino. Enquanto num e-mail ainda podes passar o cursor por cima de um link, um código QR não te dá nenhuma pista sobre onde vais acabar por ir parar. Neste artigo, explicamos como funciona um ataque de «quishing», por que razão esta forma de phishing está a aumentar e como podes proteger a tua organização.

Significado de «quishing»: o que significa este termo?

«Quishing» é uma contração de «QR» e «phishing». O objetivo é o mesmo de qualquer ataque de phishing: enganar alguém para que revele as suas credenciais, aprove um pagamento ou descarregue malware. Só o método de entrega é que difere. O atacante não usa um link clicável, mas sim um código QR que leva à página maliciosa.

Esse botão é mais do que um mero artifício. Desde a pandemia que lemos códigos QR sem pensar, seja para ver ementas, fazer pagamentos, estacionar ou iniciar sessão. Os atacantes aproveitam-se exatamente desse reflexo adquirido: ler um código QR parece algo rotineiro, não arriscado.

Como é que o «quishing» funciona?

Um ataque típico de «quishing» segue quatro passos:

• O atacante cria um código QR que redireciona para um site falso, muitas vezes uma imitação de uma página de início de sessão do Microsoft 365, de um banco ou de um prestador de serviços de pagamentos.
• O código é distribuído por e-mail, carta, folheto ou como um autocolante colado sobre um código QR legítimo num local público.
• A vítima digitaliza o código com o telemóvel. Este é o passo crucial: o ataque passa de um portátil de trabalho gerido pela empresa, com filtros e software de segurança, para um smartphone pessoal que, muitas vezes, está muito menos protegido.
• A página falsa faz o que tem de fazer. A vítima inicia sessão na página falsa e o atacante captura as credenciais, incluindo, por vezes, a sessão de autenticação multifator (MFA).

Em ambientes empresariais, a variante mais comum é um e-mail que parece ter vindo do departamento de TI ou da Microsoft: dizem que as tuas definições de MFA vão expirar e que precisas de digitalizar o código para te autenticares novamente. O e-mail em si não tem nenhum link clicável, o que é exatamente o que o faz parecer inofensivo.

Por que é que o phishing com códigos QR é tão eficaz?

O Quishing resolve dois problemas que os atacantes enfrentam com os e-mails de phishing clássicos.

Primeiro: os filtros de e-mail analisam o texto e verificam os links, mas um código QR é uma imagem. O URL malicioso fica invisível, não só para quem recebe a mensagem, mas também para grande parte das ferramentas de segurança. As mensagens que seriam bloqueadas na hora se tivessem um link normal passam sem problemas quando têm um código QR.

Segundo: o ataque leva a vítima para o telemóvel. Num ecrã pequeno, é mais difícil verificar a barra de endereços, o URL fica muitas vezes parcialmente escondido e as proteções da empresa, como a filtragem da Web, não costumam existir nos dispositivos pessoais. O atacante atrai a vítima para fora do ambiente protegido, precisamente no momento em que o ataque começa.

O «quishing» na prática: um código QR falso pode estar em qualquer lado

O ponto forte deste tipo de fraude é que um código QR falso pode estar em qualquer lugar onde um código normal possa estar: numa máquina, na tua caixa de correio, na tua caixa de entrada ou na parede do escritório. Todos estes cenários já aconteceram mesmo:

• O código QR falso no parquímetro. Em novembro de 2024, a polícia holandesa e a ANWB alertaram para a existência de autocolantes com códigos QR falsos nos parquímetros, nomeadamente em Amesterdão, Maastricht e Sittard-Geleen. O código levava a uma imitação de uma aplicação de estacionamento bem conhecida; a «taxa de estacionamento» e os dados do cartão iam diretamente para os criminosos.
• A carta do «banco». Os burlões enviam cartas com um cabeçalho bancário muito convincente: dizem que o teu cartão de débito precisa de ser substituído e que tens de digitalizar o código QR para tratar disso. A Veilig Bankieren alerta para esta forma de fraude, precisamente porque uma carta em papel parece mais fiável do que um e-mail.
• O e-mail do MFA no trabalho. «O teu autenticador expira hoje, digitaliza este código para continuares a ter acesso.» A urgência, aliada a um processo que já conheces, faz desta a variante mais eficaz no ambiente de trabalho.
• A fatura falsa ou o pedido de assinatura. Um documento que parece ter vindo da DocuSign ou de um fornecedor, com um código QR para «ver» ou «assinar» a fatura.
• O cartaz ou folheto no escritório. Um anúncio sobre uma festa dos funcionários ou uma nova política de estacionamento, com um código QR que ninguém questiona.

Quishing, phishing, smishing e vishing: qual é a diferença?

Todas as quatro são formas de engenharia social; a diferença está no canal. O phishing clássico é feito por e-mail, com um link ou anexo. O smishing usa SMS e aplicações de mensagens, o vishing acontece por telefone e o quishing usa códigos QR como porta de entrada. Na prática, os atacantes combinam os canais: um e-mail de quishing no trabalho, seguido de uma chamada do «serviço de apoio» a perguntar se o login resultou.

Queres ter uma visão geral completa destas variantes e de outros métodos de ataque? Lê o nosso artigo sobre os tipos mais comuns de ataques de phishing.

Como proteger a tua organização contra o «quishing»

Faz do comportamento a tua primeira linha de defesa. Precisamente porque a tecnologia tem dificuldade em detetar códigos QR, o reconhecimento por parte dos colaboradores é mais importante do que no caso do phishing normal. A formação em sensibilização para a segurança ensina à tua equipa o reflexo que importa aqui: trata um código QR inesperado exatamente como um link inesperado. Não o digitalizes, nem verifiques a pré-visualização do URL após a digitalização antes de clicares para acederes.

Faz testes com simulações realistas. Uma simulação de phishing mostra quem cai em que armadilha e transforma um clique errado num momento de aprendizagem, em vez de um incidente. Os testes recorrentes mantêm a atenção e mostram se o comportamento melhora mesmo.

Colma as lacunas técnicas. Opta por uma autenticação multifatorial (MFA) resistente ao phishing sempre que possível, protege os dispositivos móveis que acedem aos dados da empresa e facilita a comunicação de incidentes: um colaborador que comunique um e-mail suspeito com um código QR no espaço de um minuto protege todos os colegas que receberam a mesma mensagem.

Perguntas mais frequentes

O que acontece se leres um código QR de phishing?

Por si só, a verificação normalmente não causa danos. O risco está no que se segue: a página que o código abre. Desde que não faças login, não introduzas dados nem faças downloads, os danos costumam ser limitados. Introduziste credenciais? Altera a tua palavra-passe imediatamente e avisa o teu departamento de TI.

Como é que se reconhece um código QR falso?

Presta atenção ao contexto antes de digitalizar: um autocolante colado por cima de outro código, um pedido de pagamento onde não esperavas encontrar nenhum ou um e-mail que insiste para que digitalizes com o telemóvel são todos sinais de alerta. Depois de digitalizar, verifica sempre o URL que a tua câmara mostra antes de abrires a página.

Um filtro de spam impede que os e-mails sejam «quished»?

Muitas vezes, não. A maioria dos filtros verifica links e texto, e um código QR é uma imagem sem um link legível. Alguns fornecedores de segurança já analisam códigos QR em e-mails, mas a deteção ainda fica aquém da do phishing clássico. É exatamente por isso que ter funcionários atentos é a medida mais importante.

O «quishing» não é um novo tipo de fraude, mas sim uma nova forma de apresentar um velho truque: levar alguém a uma página falsa e deixar que seja a própria pessoa a fazer o trabalho. As equipas que reconhecem este padrão não se limitam a suspeitar dos links nos e-mails, também ficam desconfiadas com aquele quadradinho de aspeto inofensivo.