Como saber se um QR Code é seguro e evitar golpes de quishing — Guia Qriou

Um QR Code é uma forma de representar dados, não um certificado de confiança. Qualquer pessoa pode gerar um símbolo que leve a uma URL maliciosa, a uma página falsa ou a um fluxo criado para capturar informações. O termo quishing é usado para descrever golpes que usam QR Codes para conduzir a vítima a um cenário de phishing.

Por que o golpe funciona?

O QR Code esconde o endereço até que a pessoa faça a leitura. Isso pode reduzir uma oportunidade de inspeção visual que existiria quando alguém vê uma URL diretamente. Um criminoso também pode colar um novo código sobre um código legítimo em locais públicos, desviando a ação para outro destino.

Confira o destino antes de continuar

Depois de ler um código que abre uma página, observe o endereço apresentado pelo navegador. Desconfie de domínios inesperados, erros de escrita, páginas que pedem informações desnecessárias ou mensagens de urgência. Um endereço com aparência conhecida ainda precisa ser analisado no contexto.

Tenha cuidado especial com pagamentos

Se um QR Code estiver ligado a pagamento, trate a confirmação do aplicativo financeiro como uma etapa de segurança. Confira o beneficiário, o valor e outras informações mostradas antes de autorizar a transação. Não confirme um pagamento apenas porque o QR Code está em um cartaz, mensagem ou adesivo aparentemente legítimo.

Observe alterações físicas

Em estacionamentos, cartazes, balcões e outros locais públicos, veja se o código original parece ter sido coberto, substituído ou alterado. O próprio contexto pode indicar se aquele QR Code é esperado. Em caso de dúvida, procure o endereço oficial digitando-o ou usando um canal confiável em vez de escanear um código suspeito.

O que fazer depois de um clique suspeito?

Se uma página parecer falsa, não informe credenciais nem dados financeiros. Feche a página e acesse o serviço por um endereço que você já conhece. Se uma transação financeira foi iniciada de forma suspeita, entre em contato imediatamente com a instituição responsável e siga os procedimentos de segurança dela.

Segurança não termina no escaneamento

Mesmo quando o endereço parece correto, continue atento ao que a página pede. Uma boa prática é interromper a operação quando o fluxo sair do esperado. QR Codes são atalhos: quanto mais rápida for a ação, mais importante é reservar alguns segundos para conferir o destino.

Exemplo prático

Antes de publicar, pense em uma situação concreta em que o QR Code será usado. Defina quem fará a leitura, qual ação deverá acontecer e em que ambiente o código será encontrado. Essa pequena simulação costuma revelar necessidades de tamanho, texto, contraste e manutenção que não aparecem quando o símbolo é avaliado isoladamente.

Depois, execute o fluxo completo com o arquivo final. Leia o código, confira o destino, observe a experiência no celular e faça uma revisão visual da peça. O objetivo é validar não apenas se o QR Code decodifica, mas se a pessoa consegue concluir a ação para a qual o código foi criado.

Não confunda familiaridade com confiança

Um QR Code em um estacionamento, restaurante, evento ou mensagem pode parecer legítimo porque o contexto é familiar. Ainda assim, a origem do código e o destino precisam ser coerentes. Observe o endereço aberto e pare quando a página pedir algo que não faça sentido para a ação esperada.

Uma rotina simples para pagamentos

Quando houver pagamento, interrompa a operação se o aplicativo mostrar beneficiário ou valor diferente do esperado. Não tente “corrigir” uma informação estranha seguindo instruções de uma página desconhecida. Em caso de dúvida, use o aplicativo ou canal oficial da instituição financeira para iniciar a operação novamente.

Veja orientações da FTC sobre phishing e golpes com QR Codes