Um código QR também pode ser uma armadilha: a prevenção começa nos nossos hábitos | Por Ricardo Neves

Habituámo-nos a apontar o telemóvel para um código QR quase sem pensar. Fazemo-lo para consultar o menu de um restaurante, pagar o estacionamento, aceder a um bilhete, confirmar uma entrega ou abrir informação sobre um evento. Tornou-se um gesto tão comum que raramente o associamos a um risco. É precisamente essa confiança que os criminosos procuram explorar.

A cibersegurança não depende apenas da tecnologia que utilizamos para proteger computadores e telemóveis. Depende também das decisões que tomamos todos os dias. Um clique numa ligação, a introdução de uma palavra passe numa página aparentemente legítima ou a leitura de um código QR podem parecer ações banais, mas são muitas vezes o primeiro passo de uma fraude.

O phishing continua a explorar essa combinação entre tecnologia, confiança e comportamento humano. O objetivo pode ser roubar credenciais, obter informação financeira, instalar software malicioso ou simplesmente convencer a vítima a realizar uma ação que beneficia o atacante.

Nos últimos meses, uma das evoluções mais visíveis desta técnica tem sido o quishing, ou seja, a utilização de códigos QR em campanhas de phishing.

A lógica é simples. Em vez de apresentar diretamente uma ligação maliciosa num email ou numa mensagem, o atacante coloca essa ligação dentro de um código QR. Quando a vítima o lê com o telemóvel, é encaminhada para uma página fraudulenta que pode imitar um banco, uma plataforma de pagamentos, um serviço de correio eletrónico, uma empresa de entregas ou outro serviço conhecido.

Há duas razões que ajudam a explicar a eficácia desta técnica. A primeira é que o código QR esconde o endereço para onde vamos ser encaminhados. A segunda é que muitas vezes transfere a interação do computador, que pode estar protegido pelas ferramentas de segurança da empresa, para um telemóvel pessoal, onde esses controlos podem não existir.

Os dados mostram que já não estamos perante uma ameaça residual. De acordo com o Relatório de Ameaças da ESET relativo ao primeiro semestre de 2026, foram registadas, a nível global, cerca de 100 mil deteções de quishing por mês. Aproximadamente 11% dos emails de phishing detetados pela ESET utilizavam códigos QR. Em Portugal, esta categoria representou 4,8% das deteções de ameaças por email e foi a sétima mais detetada no país.

Mas os números, por si só, não explicam o problema.

O que torna o quishing particularmente eficaz é o facto de se misturar com os nossos hábitos. Um código QR colocado num contexto familiar tende a gerar menos desconfiança do que uma ligação desconhecida. E quando surge associado a um pedido urgente, a uma fatura, a uma alteração de salário, a um documento para consultar ou a um pagamento pendente, a pressão para agir rapidamente aumenta.

Por isso, a primeira regra deve ser muito simples: um código QR deve ser tratado com o mesmo cuidado que qualquer ligação recebida por email, mensagem ou redes sociais.

Antes de introduzir dados pessoais, credenciais ou informação financeira, é importante verificar o endereço apresentado pelo telemóvel e confirmar se corresponde realmente ao serviço que pretendemos utilizar. Quando o pedido é inesperado, deve ser confirmado através de outro canal. E se uma página pedir informação que normalmente não seria necessária naquele contexto, o mais prudente é interromper o processo.

Esta atenção é igualmente importante nas empresas, sobretudo nas pequenas e médias organizações, onde uma conta comprometida pode ter consequências muito além do utilizador afetado. O acesso a um correio eletrónico empresarial, por exemplo, pode ser utilizado para tentar chegar a colegas, clientes ou fornecedores através de mensagens que parecem perfeitamente legítimas.

Aqui, a responsabilidade não pode recair apenas sobre quem recebe a mensagem. As organizações devem combinar a sensibilização dos colaboradores com medidas técnicas como autenticação multifator, proteção do email, gestão de vulnerabilidades, atualização dos sistemas e soluções capazes de identificar comportamentos suspeitos.

A formação continua a ser essencial, mas não porque seja possível transformar cada colaborador num especialista em cibersegurança. O objetivo é outro: criar hábitos simples que façam com que uma situação inesperada provoque uma segunda verificação antes de uma ação.

É também importante abandonar a ideia de que estas fraudes acontecem apenas a grandes empresas ou a pessoas pouco familiarizadas com tecnologia. O phishing funciona precisamente porque explora comportamentos universais: confiança, curiosidade, urgência, distração e rotina.

À medida que os nossos hábitos digitais evoluem, os métodos utilizados pelos criminosos evoluem com eles. O quishing é apenas um exemplo dessa adaptação.

A resposta não passa por deixar de utilizar códigos QR ou por desconfiar de toda a tecnologia. Passa por evitar que a conveniência elimine completamente a nossa capacidade de questionar aquilo que temos à frente.

Num mundo em que cada vez mais serviços começam com um clique, uma mensagem ou um código no ecrã, alguns segundos para verificar antes de confiar continuam a ser uma das medidas de segurança mais simples e eficazes que temos ao nosso alcance.

Leia também: Quando o stress se sente na pele | Por Isabel Duarte