Os códigos QR tornaram-se comuns no dia a dia. Servem para abrir páginas na Internet, consultar documentos, aceder a menus, pagar serviços ou confirmar informações em poucos segundos. Mas a mesma facilidade que os tornou populares também está a ser explorada por cibercriminosos, que usam estes códigos para esconder ligações maliciosas e enganar utilizadores.
Segundo o Pplware, que cita dados da ESET, este tipo de fraude é conhecido como quishing, uma combinação entre QR code e phishing. Em vez de apresentar uma ligação suspeita no corpo de uma mensagem, o atacante coloca um código QR que, quando lido pelo telemóvel, pode levar a uma página falsa destinada a roubar palavras-passe, dados bancários ou outras informações sensíveis.
Quishing já aparece entre as ameaças por email em Portugal
De acordo com a mais recente análise da ESET, as campanhas de quishing foram a sétima ameaça por email mais detetada em Portugal entre dezembro de 2025 e maio de 2026. No mesmo período, representaram 4,8% do total de deteções registadas no país.
A nível mundial, a tendência é ainda mais expressiva. Cerca de 11% de todos os emails de phishing detetados pela ESET já usavam códigos QR para esconder ligações maliciosas. Em média, foram identificadas aproximadamente 100 mil deteções por mês, com o pico registado em abril, o valor mais elevado desde que a empresa começou a monitorizar esta técnica de forma autónoma, em setembro de 2025.
O funcionamento é simples. O utilizador recebe um email que parece legítimo, muitas vezes em nome de uma empresa, de um departamento de recursos humanos ou de um serviço conhecido. Em vez de incluir um link visível, a mensagem pede que o destinatário leia um código QR com o telemóvel para consultar um documento, validar uma informação ou concluir uma tarefa urgente.
Ataque passa do computador para o telemóvel
Entre os exemplos identificados pela ESET estão falsas comunicações sobre alterações salariais, benefícios para colaboradores, documentos para aprovação ou assinatura e serviços conhecidos, como a DocuSign. Depois de ler o código QR, a vítima é encaminhada para um site fraudulento que imita uma plataforma real e onde lhe são pedidos dados de acesso, informação bancária ou outros elementos pessoais.
Ricardo Neves, responsável de Comunicação da ESET Portugal, explica que o quishing é particularmente eficaz porque reduz a visibilidade do ataque. A ligação maliciosa não aparece diretamente no corpo do email e a interação passa muitas vezes para o telemóvel, onde o utilizador pode não ter os mesmos mecanismos de proteção existentes no computador.
Essa mudança de dispositivo é uma das vantagens para os atacantes. Um email pode chegar a um computador protegido por filtros de segurança, soluções antiphishing e antivírus, mas, ao digitalizar o código QR, a operação passa para o smartphone. Em muitos casos, o telemóvel não está sujeito às mesmas regras de segurança da organização ou não tem proteção equivalente.
Além disso, como o endereço está escondido dentro do código QR, torna-se mais difícil para o utilizador perceber para onde está a ser encaminhado antes de abrir a página. Essa falta de visibilidade aumenta o risco de clicar, inserir dados e só depois perceber que estava perante uma fraude.
Fraude também aparece em espaços públicos
O quishing não acontece apenas por email. A ESET alerta que esta técnica também já foi detetada em espaços públicos, através da substituição de códigos QR legítimos por versões fraudulentas.
Entre os casos identificados estão códigos colocados em parquímetros, bicicletas e trotinetes partilhadas, sistemas de pagamento e outros serviços públicos. Para quem usa o serviço, o gesto parece normal: aponta a câmara do telemóvel, abre a página e segue as instruções. O problema surge quando o código foi adulterado e encaminha a vítima para uma página falsa.
Também foram identificadas campanhas com falsas multas de estacionamento e notificações fraudulentas relacionadas com portagens. Nestes casos, os utilizadores são levados para páginas criadas para recolher dados bancários ou outras informações sensíveis, muitas vezes com mensagens que simulam urgência ou ameaça de penalização.
Como se pode proteger?
A recomendação da ESET é tratar qualquer código QR com o mesmo cuidado que se teria perante uma ligação desconhecida. Antes de abrir uma página ou introduzir dados, deve confirmar se a mensagem era esperada, verificar o remetente e desconfiar de pedidos urgentes ou pouco habituais.
Também é importante observar o endereço da página antes de avançar, sobretudo quando estão em causa credenciais, pagamentos ou dados bancários. Se o site parecer estranho, tiver erros, pedir informação excessiva ou não corresponder ao serviço esperado, o mais seguro é fechar a página e procurar o canal oficial da entidade em causa.
No caso das organizações, a ESET recomenda soluções de segurança capazes de analisar ligações escondidas em códigos QR, maior proteção dos dispositivos móveis e ações de sensibilização para este tipo de ataque. À medida que os códigos QR continuam a fazer parte da rotina dos consumidores, também cresce a necessidade de olhar para estes atalhos com mais atenção.
Leia também: Pode perder os 10 cêntimos das embalagens? Há regras para receber o depósito de volta
