A utilização de códigos QR para esconder páginas fraudulentas assumiu um peso significativo na cibersegurança nacional, posicionando-se como a sétima ameaça por correio eletrónico mais detetada em Portugal. Entre dezembro de 2025 e maio de 2026, esta técnica foi responsável por 4,8% do total de incidentes intercetados nos emails portugueses, segundo um recente comunicado divulgado pela ESET.
A nível global, o cenário partilhado pela empresa de segurança é ainda mais expressivo. Cerca de 11% de todos os emails de phishing detetados já recorrem a estes códigos, com os sistemas a registarem uma média de 100 mil bloqueios mensais. O volume de incidentes atingiu um pico em abril, marcando o nível de atividade mais elevado desde que o fenómeno começou a ser analisado de forma isolada, em setembro de 2025.
O salto do computador para o telemóvel
No jargão técnico, a prática é conhecida como "quishing" e baseia-se numa premissa simples: contornar as proteções corporativas transferindo a interação para um ecrã secundário. "O quishing é particularmente eficaz porque reduz a visibilidade do ataque. A ligação maliciosa não aparece diretamente no corpo do email e a interação passa frequentemente para um telemóvel, onde o utilizador pode não beneficiar dos mesmos controlos de segurança. Esta combinação aumenta significativamente a probabilidade de sucesso da fraude", explica Ricardo Neves, Responsável de Comunicação da ESET Portugal.
Uma campanha típica inicia-se com uma mensagem visualmente fidedigna, simulando o departamento de recursos humanos ou ferramentas empresariais reconhecidas, como a DocuSign. O texto omite qualquer link e pede apenas a leitura urgente de um código quadrado para confirmar alterações salariais, benefícios ou a assinatura de um contrato.
Ao apontar a câmara do smartphone para o ecrã do PC, o trabalhador desloca a ameaça de uma rede empresarial fortemente monitorizada para um dispositivo pessoal, frequentemente desprovido de defesas ativas contra malware. O destino final é uma página clonada, desenhada para capturar credenciais profissionais ou dados bancários em poucos segundos.
Uma ameaça que invadiu os espaços públicos
O risco desta tecnologia deixou de estar confinado aos escritórios e às caixas de correio eletrónico, infiltrando-se nos hábitos do dia a dia. Tirando partido da normalização dos pagamentos via smartphone, os criminosos começaram a colar autocolantes com códigos fraudulentos em parquímetros urbanos e estações de bicicletas partilhadas. A lista de táticas em ambiente físico inclui ainda a falsificação de notificações de portagens e o uso de falsas multas de estacionamento deixadas nos veículos.
Nestes cenários físicos, a leitura do quadrado reencaminha as vítimas diretamente para terminais de pagamento falsos, criados com o único propósito de recolher dados de cartões de crédito.
Para atenuar a eficácia destas fraudes, a principal recomendação passa por tratar qualquer código QR com o mesmo grau de ceticismo aplicado a um link enviado por um remetente desconhecido. Confirmar a legitimidade do pedido por vias alternativas e rejeitar pressões de urgência são os primeiros passos de defesa, enquanto as organizações devem focar-se em alargar as suas barreiras de proteção aos ecossistemas móveis.
Nenhum comentário
Seja o primeiro!