Quishing: golpes com QR Code e links encurtados em SMS

Quishing: golpes com QR Code e links encurtados em SMS

Você aponta a câmera para um QR Code e o celular abre um site na hora. Você não leu nenhum endereço, não digitou nada, não decidiu para onde ir: o QR Code decidiu por você. Essa comodidade é exatamente o que o quishing (QR + phishing) explora: QR Codes e links encurtados que escondem o destino para levar você a sites falsos, onde roubam seus dados ou o seu dinheiro.

O quishing não é uma técnica separada do smishing (como o SMS falso de multa de trânsito ou de débito de IPVA): é o mesmo golpe, com o link mais bem escondido. Enquanto o SMS falso de multa ou de encomenda ainda deixa você ver um domínio suspeito se prestar atenção, o QR Code não mostra nada até você já ter escaneado.

Onde aparecem os QR Codes falsos

• Parquímetros e estacionamento rotativo. Adesivos com um QR Code falso colados por cima do QR verdadeiro da prefeitura ou do app de pagamento. Você escaneia, cai num site que imita o pagamento do estacionamento e digita o cartão.
• Cardápios de restaurantes e bares. Um QR colado sobre o original. Aqui o objetivo costuma ser fazer você instalar um app falso ou levar você a um site de phishing com qualquer desculpa.
• Multas e avisos no para-brisa. Falsos avisos de infração com QR Code "para pagar com desconto". É a mesma isca do SMS falso de multa, em papel. Multas de verdade são emitidas pelo DETRAN, pela PRF ou pelos órgãos de trânsito municipais e podem ser conferidas nos canais oficiais deles.
• Encomendas e entregas. QR Codes em adesivos ou em SMS ("escaneie para reagendar sua entrega"), uma variação do golpe da encomenda. Os Correios informam na sua página de segurança que não enviam mensagens com link direto de pagamento.
• E-mails e SMS com QR Code. A mensagem pede para você escanear um QR em vez de tocar num link, às vezes com a desculpa da "verificação em duas etapas" ou da "segurança". Isso também serve para driblar os filtros antiphishing, que analisam links, mas não imagens.
• Pix e criptomoedas. QR Codes que supostamente trazem uma cobrança ou um "reembolso". Se o QR abrir um pagamento, confira para quem o dinheiro vai antes de confirmar: depois de enviado, não há volta fácil.

A regra: veja o destino antes de entrar

Num link comum, você consegue ler o endereço antes de tocar. Num QR Code, não, então é preciso acrescentar esse passo à mão:

1. Escaneie, mas não entre ainda. A maioria dos celulares mostra o endereço completo antes de abrir. Esse é o momento de decidir: leia tudo, sem pressa.
2. Confira o domínio. Ele tem de ser o oficial do serviço, sem hífens a mais nem extensões estranhas. Se o QR do parquímetro levar a um domínio que não é o da prefeitura ou do app oficial, é falso.
3. Se algo não bater, não entre: vá você ao canal oficial. Abra o app oficial do estacionamento, do banco ou da loja e resolva por lá. É o mesmo método que ensinamos para verificar uma ligação ou um SMS do seu banco nos nossos guias de situações.
4. Desconfie de QR Code com pressa. "Escaneie agora", "último aviso", "sua encomenda será devolvida hoje". A urgência é a assinatura da fraude, no QR Code e no SMS.

E uma dica física para os QR Codes colados na rua: veja se há um adesivo por cima de outro. Se o QR do parquímetro estiver num adesivo que parece ter sido colocado depois, ou se ele cobrir outro código, não use. Pague pelo app oficial que você já tem instalado.

O que fazer se você já escaneou e passou dados

• Digitou o cartão no site: ligue para o seu banco agora, bloqueie o cartão e peça um novo. Acompanhe as cobranças das semanas seguintes.
• Fez um Pix pelo QR Code: avise o seu banco imediatamente e peça a abertura do MED (Mecanismo Especial de Devolução).
• Baixou um app pelo QR: desinstale, rode o antivírus do celular e revise as permissões que você deu (SMS, acessibilidade e notificações são as perigosas).
• Só escaneou e fechou: quase certamente não aconteceu nada. Escanear, por si só, não instala nada nem entrega dados; o risco começa quando você interage com o site.
• Registre um boletim de ocorrência (B.O.) na Polícia Civil do seu estado, com fotos do QR Code (se estava na rua, foto do adesivo e do local) e prints do site. Para orientações gratuitas de segurança no celular, consulte a Cartilha de Segurança para Internet do CERT.br.
• Se o QR chegou por SMS ou ligação, denuncie o número no diretório de números de spam.

Perguntas rápidas

Escanear um QR Code pode hackear o meu celular? Escanear, por si só, não: o QR Code contém apenas texto (normalmente um endereço de site). O perigo está no site para onde ele leva e no que você faz lá: digitar dados, baixar arquivos ou conceder permissões. Por isso a defesa é conferir o destino antes de entrar.

Os links encurtados (bit.ly e parecidos) são a mesma coisa? O mesmo problema, sim: escondem o destino. Os encurtadores legítimos permitem uma prévia (muitos com um "+" no fim do endereço), mas a regra prática é igual: se você não sabe aonde o link leva e ele apressa você a tocar, não toque e vá você ao canal oficial.

O meu banco pode me mandar um QR Code legítimo? Sim, por exemplo para vincular o app ou confirmar operações... dentro de processos que VOCÊ iniciou. Um QR do banco que chega sem você ter pedido nada segue a regra geral: não use e entre você no app oficial.

Como protejo uma pessoa idosa disso? Com uma frase: "não pague nada escaneando QR Code da rua; use o app que você já tem". E explique com calma onde esses códigos falsos aparecem, como estacionamentos e cardápios.

O resumo cabe numa linha: o QR Code é um link que você não consegue ler, então leia antes de entrar. Escaneie, veja o endereço e, se não for o domínio oficial, feche e vá você ao canal oficial. Esse segundo de pausa desmonta o quishing inteiro.