Golpes com QR code: o que diz a pesquisa

Em resumo

• Imprima códigos que abram um endereço que os seus clientes reconheçam, de preferência o seu próprio site.
• Imprima os códigos direto na superfície, não em adesivos, e confira se os códigos em locais públicos têm adesivos por cima.
• Antes de abrir um código escaneado, leia o endereço que a câmera mostra.

E-mails com QR code enganaram as pessoas tanto quanto links

Phishing são mensagens falsas que levam as pessoas a um site falso. O phishing com QR code, ou quishing, faz o mesmo com um QR code em vez de um link.

Em 2025, uma equipe da Universidade de Liechtenstein liderada por Marie Weinz testou o phishing em organizações reais, de pequenas empresas a uma multinacional. Eles enviaram mais de 71 mil e-mails de teste. Alguns tinham um link normal, outros um QR code.

Os e-mails com QR code levaram as pessoas à página falsa quase tanto quanto os e-mails com link. Os autores observam que os filtros de e-mail também têm mais dificuldade para detectar e-mails com QR, porque o endereço fica dentro de uma imagem. O artigo foi apresentado na conferência de segurança AsiaCCS 2025.

Dois estudos anteriores apontam na mesma direção. Em 2022, Sharevski e colegas pediram a 173 pessoas que escaneassem um QR code falso de um comprovante de COVID-19. 67% se dispuseram a se cadastrar com a conta do Google ou do Facebook, e a praticidade foi o motivo mais citado. Em 2024, Geisler, Pöhn e Hommel espalharam cartazes falsos de uma pesquisa em um campus de pesquisa alemão. Um cartaz mais profissional, que também oferecia um prêmio, foi escaneado quase três vezes mais do que um simples.

Se você imprime QR codes

As pessoas conseguem conferir um endereço que reconhecem. O seu próprio site é o mais fácil de reconhecer.

• Mostre o seu próprio endereço sempre que puder. Um código estático abre o seu endereço web diretamente. Com o QR Lasts Pro, os códigos dinâmicos também podem usar o seu próprio domínio.
• Imprima direto na superfície. Um código impresso em uma placa é mais difícil de cobrir do que um adesivo.
• Confira os códigos em locais públicos. Em mesas, cartazes e portas, procure de vez em quando um adesivo por cima do seu código.
• Diga para onde o código leva. Uma linha embaixo do código, como "Abre sualoja.com/menu", permite conferir antes de abrir.

Como conferir um código antes de abrir

1. Leia o endereço primeiro. A maioria dos apps de câmera o mostra antes de abrir.
2. Encontre o nome do site. Leia o endereço até a primeira barra simples (/) e olhe as duas últimas partes. Em parking-city.example.com.pay-now.ru/pay, o site é pay-now.ru. Em endereços terminados em .com.br, .co.uk e parecidos, olhe as três últimas partes.
3. Cuidado com códigos que pedem login ou pagamento. Serviços de estacionamento, bancos e transportadoras costumam deixar você pagar no próprio app ou site, que você mesmo pode abrir.
4. Passe o dedo para sentir adesivos em parquímetros e cartazes antes de escanear.
5. Não escaneie códigos em e-mails que você não esperava. Vá direto ao serviço.

Como o QR Lasts ajuda

Os códigos estáticos abrem o seu próprio endereço, sem nada no meio. Todo código criado aqui, grátis ou pago, continua redirecionando. O único motivo para pararmos um código é abuso, como um destino que o Google Web Risk sinaliza como phishing ou malware.

Fontes

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Se interpretamos mal algum estudo, avise-nos e vamos corrigir.