Burlas com códigos QR: o que diz a investigação

Em resumo

• Imprima códigos que abram um endereço que os seus clientes reconheçam, de preferência o seu próprio site.
• Imprima os códigos na própria superfície, não em autocolantes, e verifique se os códigos em locais públicos têm autocolantes por cima.
• Antes de abrir um código lido, veja o endereço que a câmara mostra.

Os e-mails com código QR enganaram tantas pessoas como os links

Phishing são mensagens falsas que levam as pessoas a um site falso. O phishing com códigos QR, ou quishing, faz o mesmo com um código QR em vez de um link.

Em 2025, uma equipa da Universidade do Liechtenstein liderada por Marie Weinz testou o phishing em organizações reais, de pequenas empresas a uma multinacional. Enviaram mais de 71 000 e-mails de teste. Uns tinham um link normal, outros um código QR.

Os e-mails com código QR levaram as pessoas à página falsa quase tantas vezes como os e-mails com link. Os autores notam que os filtros de e-mail também têm mais dificuldade em detetar e-mails com QR, porque o endereço fica dentro de uma imagem. O artigo foi apresentado na conferência de segurança AsiaCCS 2025.

Dois estudos anteriores apontam no mesmo sentido. Em 2022, Sharevski e colegas pediram a 173 pessoas que lessem um código QR falso de um certificado COVID-19. 67% estavam dispostas a registar-se com a conta Google ou Facebook, e a comodidade foi o motivo que mais referiram. Em 2024, Geisler, Pöhn e Hommel afixaram cartazes falsos de um inquérito num campus de investigação alemão. Um cartaz mais profissional, que também oferecia um prémio, foi lido quase três vezes mais do que um simples.

Se imprime códigos QR

As pessoas conseguem verificar um endereço que reconhecem. O seu próprio site é o mais fácil de reconhecer.

• Mostre o seu próprio endereço sempre que puder. Um código estático abre o seu endereço web diretamente. Com o QR Lasts Pro, os códigos dinâmicos também podem usar o seu próprio domínio.
• Imprima na superfície. Um código impresso num letreiro é mais difícil de tapar do que um autocolante.
• Verifique os códigos em locais públicos. Em mesas, cartazes e portas, procure de vez em quando um autocolante por cima do seu código.
• Diga para onde vai o código. Uma linha por baixo do código, como «Abre asualoja.com/menu», permite verificar antes de abrir.

Como verificar um código antes de o abrir

1. Leia primeiro o endereço. A maioria das aplicações de câmara mostra-o antes de o abrir.
2. Encontre o nome do site. Leia o endereço até à primeira barra simples (/) e veja as duas últimas partes. Em parking-city.example.com.pay-now.ru/pay, o site é pay-now.ru. Em endereços terminados em .co.uk e semelhantes, veja as três últimas partes.
3. Cuidado com códigos que pedem para iniciar sessão ou pagar. Os serviços de estacionamento, os bancos e as transportadoras costumam permitir pagar na própria aplicação ou site, que pode abrir por si.
4. Passe o dedo à procura de autocolantes em parquímetros e cartazes antes de ler o código.
5. Não leia códigos em e-mails que não esperava. Vá diretamente ao serviço.

Como o QR Lasts ajuda

Os códigos estáticos abrem o seu próprio endereço, sem nada pelo meio. Cada código criado aqui, gratuito ou pago, continua a redirecionar. O único motivo para pararmos um código é abuso, como um destino que o Google Web Risk assinala como phishing ou malware.

Fontes

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Se interpretámos mal um estudo, diga-nos e corrigiremos.