Domínios de phishing mais abusados são geradores QR

Essa descoberta transforma o argumento deste blog, de opinião em evidência. Quishing — phishing distribuído por código QR — funciona porque um quadrado impresso não pode ser lido a olho nu. Mas ele *se amplia* porque empresas legítimas passaram uma década ensinando ao público que escanear um domínio curto desconhecido é algo normal.

A telemetria da Unit 42 de fevereiro de 2026 calcula uma média de mais de 11.000 detecções de códigos QR maliciosos por dia, com o tráfego por encurtadores de QR subindo 55% do primeiro semestre de 2023 para o primeiro semestre de 2024 e mais 44% até o primeiro semestre de 2025. Tanto o FBI quanto a FTC emitiram alertas públicos: o Internet Crime Complaint Center publicou o PSA 220118 sobre criminosos adulterando códigos para roubar dinheiro e credenciais e, em julho de 2025, publicou um novo alerta sobre pacotes não solicitados contendo códigos QR, enquanto a FTC alertou que golpistas cobrem códigos legítimos com seus próprios adesivos, citando especificamente parquímetros.

Por que um código QR não pode ser verificado antes de ser escaneado?

As pessoas aprenderam, com algum sucesso, a verificar um link antes de clicar nele: passar o cursor, ler o domínio e procurar erros de grafia. Essa defesa depende de ser possível ver a URL.

Um código QR elimina essa defesa. O destino está codificado em um padrão que nenhum ser humano consegue decifrar a olho nu. Não há como passar o cursor. Você aponta uma câmera para um quadrado e algo abre ou não. O único momento possível de defesa é a prévia que alguns scanners mostram primeiro — e, em uma tela pequena e com pressa, essa prévia é uma sequência truncada que a maioria das pessoas não lê.

Como são os principais ataques?

O NCSC deixa o ponto sobre e-mails explícito: nem todas as ferramentas de segurança verificam imagens, então um código QR que aponta para um site malicioso pode passar por filtros que teriam identificado o mesmo link como texto — e os usuários tendem a escanear com um celular pessoal, sem as proteções de um computador gerenciado pelo empregador. Nossa página sobre códigos QR de Wi-Fi explica esse formato de carga; saber como ele se parece é o que permite verificá-lo.

Como os redirecionamentos destruíram a última defesa?

Suponha que toda empresa legítima usasse códigos estáticos que codificassem seu próprio domínio. A prévia do scanner mostraria restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Reconhecíveis. Uma prévia mostrando x7q-cdn.click/8Hf2 se destacaria como obviamente errada, porque seria diferente de todos os códigos legítimos que aquela pessoa já tivesse escaneado.

Esse não é o mundo que temos. Um número enorme de códigos legítimos — de restaurantes, varejistas, museus, agências de transporte e até órgãos governamentais — resolve por meio de domínios curtos de terceiros que não significam nada para quem escaneia. A consequência é direta: um domínio desconhecido na prévia de um QR já não sinaliza nada. As pessoas foram treinadas a passar por ele, centenas de vezes, sem sofrer danos.

A Unit 42 afirma o resultado sem rodeios: “Até mesmo pessoas conscientes da segurança que verificam a prévia da URL antes de escanear não conseguem determinar o destino final quando recebem links encurtados.” A indústria de redirecionamento não inventou o quishing. Ela removeu a única heurística que as pessoas comuns tinham contra ele — o mecanismo é descrito em sequestro de redirecionamento.

Três efeitos secundários

• Camuflagem. Um redirecionamento pode mostrar destinos diferentes para visitantes diferentes — conteúdo seguro para um pesquisador e a carga real para um celular na cidade-alvo. Um código estático não pode fazer isso; sua carga é fixa e idêntica para todos.
• Ativação tardia. Um código pode apontar para um local inofensivo por semanas, passar por uma revisão e ser alterado depois. Essa é a mesma possibilidade de edição que a indústria vende como recurso.
• Lavagem de reputação. Um domínio de encurtador reconhecido confere legitimidade a qualquer conteúdo para o qual redirecione.

Como se proteger ao escanear?

1. Leia o domínio na prévia. Se o seu scanner não mostrar um, use um que mostre. O NCSC recomenda o scanner integrado ao celular, em vez de um aplicativo baixado de uma loja.
2. Trate qualquer código recebido por carta ou e-mail não solicitado como perigoso. Organizações legítimas raramente precisam que você escaneie um quadrado impresso para resolver um problema urgente de conta — os dois alertas do FBI acima tratam exatamente disso.
3. Verifique fisicamente os adesivos. Levante uma borda. Um adesivo sobre outro é a configuração mais comum de quishing e pode ser detectado pelo tato.
4. Nunca insira dados de pagamento em uma página acessada por escaneamento. Acesse o serviço por conta própria, digitando o endereço ou abrindo o aplicativo.
5. Decodifique em vez de escanear quando tiver dúvida. Fotografe o código e leia sua carga em nossa página de decodificação, sem abrir nada.

E se você já tiver escaneado um código malicioso?

Escanear, por si só, quase nunca compromete um celular. O que importa é o que aconteceu depois; portanto, faça a triagem com base nisso.

1. Se você apenas visualizou uma página e a fechou, é muito provável que esteja tudo bem. Anote o domínio caso precise denunciá-lo e siga em frente.
2. Se inseriu uma senha, altere-a imediatamente no site real e mude-a em qualquer outro lugar onde a tenha reutilizado. Ative a autenticação multifator enquanto estiver lá.
3. Se inseriu dados do cartão, ligue para o banco ou bloqueie o cartão agora no aplicativo bancário, antes de verificar qualquer outra coisa. Denuncie como uma página fraudulenta, não como uma compra contestada.
4. Se instalou alguma coisa, desinstale-a e depois revise as permissões do aplicativo e quaisquer permissões de administrador do dispositivo ou de acessibilidade que ele possa ter solicitado. Essas permissões são a carga maliciosa na maioria dos casos móveis.
5. Se entrou em uma rede Wi-Fi por meio de um código, esqueça a rede e presuma que tudo o que foi enviado por ela enquanto você estava conectado pôde ser observado.
6. Denuncie. Nos EUA, o IC3 do FBI recebe denúncias, e a FTC recebe reclamações de consumidores; no Reino Unido, procure a Action Fraud. Se o código era um adesivo em uma infraestrutura pública, avise também quem é responsável pela superfície — uma autoridade de estacionamento não pode remover uma sobreposição que desconhece.

Uma coisa que você não deve fazer: presumir que a culpa foi sua por escanear. Tanto o FBI quanto a FTC emitiram alertas públicos justamente porque, por design, esses códigos são indistinguíveis dos legítimos.

Como uma empresa pode proteger seus clientes?

Se você imprime códigos QR, suas escolhas determinam se seus clientes terão alguma possibilidade de se defender.

1. Use códigos estáticos que codifiquem seu próprio domínio. A prévia mostrará seu nome, que é o único sinal de verificação disponível no momento do escaneamento. Esta é a mudança de maior impacto ao seu alcance.
2. Imprima a URL em texto legível ao lado do código. Isso oferece às pessoas uma opção que não envolve escanear e algo para comparar.
3. Inspecione seus códigos físicos regularmente. Adesivos sobrepostos só funcionam enquanto ninguém verifica.
4. Nunca encaminhe clientes por um domínio que não contenha seu nome. Isso ensina que destinos opacos são aceitáveis e deixa você sem condições de descrever como é um código legítimo seu.

Há um alinhamento útil aqui: a escolha que protege você contra o sequestro de assinaturas é a mesma que protege seus clientes contra phishing.

Gere um código estático que mostre seu próprio domínio na prévia: código QR de URL. Leitura complementar: a verdade sobre golpes com códigos QR.