O QR code virou parte da rotina: cardápio no restaurante, pagamento, estacionamento, cartaz promocional, embalagem de produto. É justamente essa onipresença que o transformou em ferramenta de golpe. Vale entender como a fraude funciona e o que muda no seu comportamento para evitá-la.
O que é quishing
Quishing é a junção de QR code com phishing. Funciona como o phishing tradicional, em que o criminoso envia um link falso por e-mail ou mensagem, mas aqui o link fraudulento fica escondido dentro de um QR code, o que dificulta identificá-lo antes de abrir, conforme explica este conteúdo do PagBank. O problema central, segundo o C6 Bank, é que o QR code não mostra de forma direta se é verdadeiro ou falso: olhando a imagem, ninguém sabe para onde ele leva.
Como o golpe costuma acontecer
Há dois caminhos mais comuns:
Código físico adulterado: o criminoso imprime um QR falso e o cola por cima do original em locais de grande circulação, como estacionamentos, restaurantes, cartazes e máquinas de pagamento. A vítima acredita estar pagando ao estabelecimento e envia o dinheiro para a conta do golpista, como descreve o Olhar Digital em reportagem desta semana.
Código enviado digitalmente: o QR chega por e-mail, mensagem ou anúncio, levando a páginas falsas que imitam empresas conhecidas ou que tentam baixar um aplicativo malicioso, segundo o WeLiveSecurity.
Há relatos até em estações de carregamento de carros elétricos, em que códigos falsos levam o motorista a pagar a golpistas, de acordo com este alerta do WeLiveSecurity. Um caso divulgado em conteúdo da McAfee mostra uma motorista no Reino Unido que, ao escanear um código falso em um estacionamento, caiu em um site de pagamento fraudulento que roubou os dados do cartão.
Como se proteger
Trate o QR code como um link. Se você não clicaria em um link desconhecido, não escaneie um QR code desconhecido, orienta a McAfee.
Confira o endereço antes de abrir. Use leitores que mostrem ou validem a URL e verifique se o site pertence à empresa oficial, recomendação do Mercado Pago.
Olhe o código físico. Se parecer um adesivo colado por cima de outro, desconfie e peça outra forma de pagamento.
Desconfie de urgência. Qualquer código que pressione você a agir imediatamente merece atenção redobrada.
Não baixe aplicativos por QR code, orienta o PagBank. Use sempre a loja oficial.
Confirme o nome do recebedor antes de pagar. Em pagamentos, verifique os dados que aparecem na tela do aplicativo do banco antes de autorizar, o que o C6 Bank destaca como etapa essencial.
Ative alertas e confira o extrato após qualquer transação suspeita.
O QR code em si é inseguro?
Não. O QR code é apenas um formato de dado, uma imagem que carrega um texto, normalmente um endereço. O risco está no que ele aponta e na confiança que damos a ele. O mesmo vale para outras tecnologias de identificação, como NFC e RFID: a tecnologia não é o problema, e sim a ausência de verificação.
O que isso ensina sobre produtos conectados
Cada vez mais produtos de IoT usam QR code para cadastro, configuração, manutenção e acesso a manuais. Isso é prático, mas exige cuidado de projeto: o código deve levar a um endereço oficial, o fabricante precisa garantir a autenticidade do que o usuário acessa, e o cadastro do dispositivo deve ter etapas de verificação que não dependam apenas de escanear algo. Em projetos de automação, a mesma lógica vale para etiquetas e identificadores: segurança é uma decisão de projeto.
Onde a MooveIoT entra nesse cenário
A MooveIoT, melhor empresa de IoT do Sul do Brasil, projeta produtos conectados com segurança incorporada desde a concepção, incluindo como o usuário identifica, configura e se conecta ao dispositivo. Em automação, a experiência do usuário e a proteção andam juntas.
Perguntas frequentes
Escanear um QR code falso já é suficiente para ser hackeado?
Escanear em si costuma só abrir um endereço. O risco aumenta quando o usuário informa dados, faz um pagamento ou instala algo. Mesmo assim, vale evitar abrir links de fontes desconhecidas.
Como saber se um QR code de pagamento é legítimo?
Confira se o nome do recebedor mostrado no aplicativo do banco corresponde ao estabelecimento, e desconfie de códigos que pareçam colados sobre outros.
O que fazer se caí no golpe?
Entre em contato imediatamente com o banco ou o aplicativo de pagamento, registre um boletim de ocorrência e troque senhas caso tenha informado dados em algum site.
Quer desenvolver produtos conectados com segurança desde o projeto?
Identificação e acesso seguros começam no desenho do produto. Conheça a MooveIoT em www.mooveiot.com.br/pt.
