O que é o «quishing» (QR Code phishing)?

Digitalizar um código QR ( QR Code ) tornou-se tão comum como clicar numa ligação. As pessoas utilizam os códigos QR ( QR Codes ) para pagar contas, aceder a serviços e partilhar informações, e o processo demora normalmente apenas alguns segundos. No entanto, uma única digitalização pode, por vezes, conduzir a um site falso criado para roubar dados. É essa a ideia por trás dos ataques de «quishing».

O «quishing» é uma forma de phishing que utiliza o QR Codes para induzir as pessoas a visitarem sites fraudulentos. Estes esquemas visam frequentemente credenciais de início de sessão, informações de pagamento e contas empresariais.

Este guia aborda como funciona o «quishing», por que razão os atacantes o utilizam e quais são os grupos mais vulneráveis. Encontrará também dicas práticas para evitar esquemas fraudulentos comuns e ficará a saber como o «quishing» se enquadra no debate mais alargado sobre a segurança dos « QR Codes ».

O que é o «quishing»?

O «quishing» é um tipo de ataque de phishing que oculta um URL malicioso numa imagem do tipo QR Code, em vez de um link de texto clicável. O nome é uma combinação de QR Code e «phishing», e o objetivo é o mesmo de qualquer ataque de phishing: direcioná-lo para um site falso para que os atacantes possam roubar as suas credenciais de início de sessão, instalar malware ou recolher os seus dados de pagamento.

O que distingue o «quishing» é o método de entrega. O URL malicioso está incorporado num código QR ( QR Code ) que a câmara do telemóvel lê. Não se encontra no corpo de um e-mail, onde os filtros de segurança o possam detetar.

Os ataques de «quishing» aumentaram 587% em 2023, de acordo com a Keepnet, tornando o phishing de QR Code uma das técnicas de phishing que mais cresce atualmente.

O «quishing» faz parte de um grupo de três tipos de ataques relacionados, pertencentes à família do «phishing».

A tabela acima é importante porque o «quishing» explora uma lacuna que muitas defesas tradicionais contra o phishing não foram originalmente concebidas para resolver. Em vez de pedirem às vítimas que cliquem num link visível, os atacantes escondem o destino dentro de uma imagem QR Code. Em muitos casos, a leitura ocorre então num dispositivo móvel separado, fora dos controlos de segurança que normalmente inspecionam o tráfego da Web.

Os ataques de «quishing» surgem mais frequentemente através de dois canais.

1. O primeiro é o e-mail, em que um atacante insere um código QR ( QR Code ) numa mensagem, num anexo ou num PDF e incentiva o destinatário a digitalizá-lo. 
2. A segunda situação ocorre no mundo físico, onde um autocolante falso com a mensagem QR Code é colado sobre um autocolante legítimo num parquímetro, numa mesa de café, num quiosque de átrio ou num quadro de avisos público. Ambas as abordagens assentam no mesmo comportamento: digitalizar um código sem verificar primeiro para onde este conduz.

O «quishing» em números: a que ritmo a ameaça está a crescer

O aumento dos ataques de «quishing» não é um risco futuro. Já está a acontecer em grande escala. De acordo com uma análise da Keepnet Labs, os ataques de «quishing» aumentaram 587% em 2023, tornando o phishing de QR Code uma das ameaças cibernéticas que mais cresceu nos últimos anos.

Várias outras estatísticas apontam para a mesma tendência:

• Foram detetadas 4,2 milhões de ameaças baseadas em QR Code só no primeiro trimestre de 2025.
• 89,3% dos ataques baseados em QR Code foram concebidos para roubar credenciais de início de sessão.
• Os ataques de «quishing» direcionados a executivos de topo foram 42 vezes mais frequentes do que aqueles dirigidos a colaboradores não executivos.
• 26% dos links maliciosos enviados por e-mail estavam incorporados em QR Codes, em vez de serem apresentados como hiperligações tradicionais.
• A Microsoft informa que bloqueia, em média, mais de 18 milhões de e-mails de phishing únicos por semana que contêm um link QR Code no corpo do e-mail, e cerca de 3 milhões de e-mails de phishing únicos por dia com o link QR Code.

Os dados revelam também como os atacantes operam. Quase 9 em cada 10 ataques baseados em QR Code centram-se no roubo de credenciais, muitas vezes direcionando as vítimas para páginas de início de sessão falsas que imitam marcas e ferramentas empresariais de confiança. De acordo com o Relatório sobre Ameaças por E-mail do primeiro semestre de 2024 da Abnormal Security, os executivos são um alvo preferencial porque têm acesso a sistemas sensíveis, aprovações financeiras e dados da empresa.

De acordo com a empresa de cibersegurança NordVPN, 73% dos americanos digitalizam códigos QR Codes sem os verificarem, e mais de 26 milhões já foram redirecionados para sites maliciosos. Ao ocultar o destino dentro de uma imagem, os atacantes podem incentivar as vítimas a mudar de um dispositivo de trabalho monitorizado para um telemóvel pessoal, onde os controlos de segurança podem ser mais fracos.

O crescimento do «quishing» acompanha de perto o crescimento da adoção d QR Code. Menus sem contacto, pagamentos móveis, check-ins em eventos e processos de autenticação tornaram a leitura de códigos QR ( QR Code ) uma parte rotineira da vida quotidiana. À medida que a leitura se tornou um hábito de confiança, os atacantes ganharam uma nova forma de lançar campanhas de phishing sem depender de links tradicionais.

Como funciona um ataque de quishing

Um ataque de «quishing» desenrola-se em seis etapas. A falha de segurança crítica surge entre a terceira e a quarta etapa.

Passo 1: O atacante gera o código malicioso QR Code

O atacante cria um QR Code que aponta para um URL malicioso. Trata-se frequentemente de um site destinado a recolher credenciais, uma página de download de malware ou um portal de pagamento falso. Os atacantes podem utilizar QR Codes dinâmicos nesta fase. Um QR Code dinâmico armazena o destino num servidor, em vez de no próprio código. Agora, o atacante pode alterar o URL de destino após a distribuição para se antecipar às listas negras de URLs.

Passo 2: Incorporar o QR Code no isco

O atacante insere a imagem QR Code como um ficheiro PNG ou JPG num e-mail de phishing. Uma versão mais sofisticada incorpora o código num anexo PDF, como uma fatura, um documento de RH ou um aviso de conformidade. As imagens incorporadas em ficheiros PDF são ainda menos analisadas pelos scanners automáticos.

Passo 3: O e-mail passa pelos filtros de segurança da empresa

A vítima recebe o e-mail num computador portátil ou dispositivo da empresa. As ferramentas padrão de segurança de e-mail analisam o corpo das mensagens à procura de URLs maliciosas conhecidas, links de texto suspeitos e domínios sinalizados. O QR Code é uma imagem. A URL maliciosa dentro da imagem é invisível para os filtros de análise de texto. O e-mail chega à caixa de entrada.

Passo 4: A vítima digitaliza o código com o seu telemóvel pessoal

O e-mail instrui o destinatário a digitalizar o código com o telemóvel. O isco pode alegar que o link é mais prático no telemóvel ou simular uma redefinição de autenticação multifator (MFA) que requer um telemóvel. A vítima pega no seu dispositivo pessoal e digitaliza o código.

Passo 5: O navegador móvel abre a página de phishing

O telemóvel pessoal encontra-se fora do perímetro de segurança da empresa. Na maioria dos dispositivos pessoais, não existe software de gestão de dispositivos móveis (MDM). A rede privada virtual (VPN) da empresa não está ativa. O navegador segue o URL descodificado e apresenta a página do atacante.

Passo 6: Roubo de credenciais ou instalação de malware

A vítima introduz as suas credenciais na página de início de sessão falsa, efetua um pagamento falso ou descarrega uma aplicação que parece ser necessária. O atacante captura os dados.

A transição de dispositivo, que consiste na transferência de um dispositivo corporativo para um telemóvel pessoal entre os passos três e quatro, é a razão estrutural pela qual o «quishing» funciona onde o phishing padrão falha. O ataque explora dois perímetros de segurança distintos, e nenhum deles deteta a cadeia completa.

Por que é que o quishing contorna a segurança tradicional do e-mail

A maioria dos e-mails de phishing contém um link clicável. As ferramentas de segurança podem analisar esse link, verificar a sua reputação e bloqueá-lo se parecer suspeito. O «quishing» funciona de forma diferente. Em vez de colocarem o link no e-mail, os atacantes escondem-no dentro de um QR Code.

Eis três razões pelas quais o «quishing» pode ser mais difícil de detetar do que o phishing tradicional.

1. O URL malicioso está oculto dentro de uma imagem

As ferramentas de segurança de e-mail são concebidas para analisar texto, links e domínios. Um código QR ( QR Code ) é uma imagem, pelo que o URL de destino pode não aparecer em nenhuma parte do texto visível do e-mail.

Os fornecedores de segurança utilizam agora a análise de imagens para detetar estas ameaças. Por exemplo, a Microsoft informa que bloqueia cerca de 1,5 milhões de ataques do tipo QR Code por dia. Mas nem todas as ferramentas de segurança de e-mail têm o mesmo nível de deteção de QR Code.

2. A leitura ocorre frequentemente num dispositivo diferente

Muitas pessoas digitalizam QR Codes com os seus telemóveis, mesmo quando o e-mail chega a um computador do trabalho.

Quando um colaborador clica numa ligação num computador portátil da empresa, as ferramentas de segurança conseguem, muitas vezes, inspecionar e monitorizar essa atividade. Mas quando a mesma pessoa digitaliza um QR Code com o telemóvel pessoal, a visita pode ocorrer fora dos controlos de segurança normais da organização. Isto proporciona aos atacantes mais uma via para atingirem o seu alvo.

3. Os atacantes podem alterar o destino de um QR Code

Algumas campanhas de «quishing» utilizam QR Codes dinâmicos. Um QR Code dinâmico aponta para um destino que pode ser atualizado posteriormente. Isto permite que os atacantes alterem o URL final depois de o QR Code já ter sido entregue. Em alguns casos, podem utilizar inicialmente um destino inofensivo e mudar posteriormente para um destino malicioso, tornando a deteção mais difícil.

O resultado é simples: um e-mail de phishing que contém um link malicioso visível é, muitas vezes, mais fácil de analisar pelas ferramentas de segurança. Um QR Code oculta esse destino por trás de uma imagem e acrescenta passos adicionais entre a vítima e o site malicioso.

Exemplos práticos de quishing

Os ataques de «quishing» podem ocorrer em qualquer lugar onde as pessoas utilizem um QR Codes. Alguns chegam por e-mail, enquanto outros aparecem em letreiros, cartazes e terminais de pagamento em locais públicos. Os exemplos abaixo mostram como os atacantes utilizam o QR Codes para esconder sites maliciosos por trás de uma simples leitura.

Esquema fraudulento com parquímetros em Austin (2022)

Em 2022, burlões colocaram autocolantes falsos com a indicação QR Code em 29 parquímetros em Austin, no Texas. Os condutores digitalizaram os códigos para pagar o estacionamento, mas o QR Codes redirecionava-os para um site de pagamento fraudulento. Qualquer pessoa que introduzisse os seus dados de pagamento corria o risco de fornecer essa informação diretamente aos burlões.

O ataque resultou porque os autocolantes falsos pareciam legítimos. A maioria dos condutores não tinha motivos para suspeitar que o autocolante original QR Codes tivesse sido substituído.

Golpes de verificação de contas do Microsoft 365

Muitos e-mails de phishing fazem-se passar pela Microsoft 365. A mensagem pode alegar que a sua palavra-passe está prestes a expirar, que a sua conta precisa de ser verificada ou que as suas definições de autenticação multifator (MFA) têm de ser atualizadas.

Em vez de incluir um link, o e-mail pede-lhe para digitalizar um código QR QR Code. O QR Code abre então uma página de início de sessão falsa da Microsoft, concebida para roubar nomes de utilizador e palavras-passe. Algumas campanhas também tentam capturar informações da sessão que ajudam os atacantes a obter acesso às contas.

Como o URL malicioso está oculto no endereço QR Code, o e-mail pode parecer, à primeira vista, mais seguro do que uma mensagem de phishing tradicional.

Fraudes relacionadas com faturas e pagamentos

As empresas são outro alvo comum. Nestes ataques, os burlões enviam e-mails que se assemelham a faturas, pedidos de pagamento ou extratos de conta de um fornecedor de confiança.

O e-mail contém um link falso QR Code que supostamente remete para detalhes de pagamento ou documentos de apoio. Após aceder ao link QR Code, a vítima é redirecionada para um site falso e é solicitada a introduzir informações de pagamento, dados bancários ou credenciais de conta. O objetivo é roubar dinheiro, informações confidenciais ou obter acesso a sistemas empresariais.

Um tema comum a todos estes ataques é a confiança. As pessoas esperam que os parquímetros, as páginas de início de sessão da Microsoft e as faturas dos fornecedores sejam legítimos. Os atacantes exploram essa confiança, ocultando sites maliciosos por trás de QR Codes. Os ataques de sobreposição física são especialmente eficazes porque um autocolante falso de QR Code pode misturar-se com um sinal, menu, quiosque ou terminal de pagamento que, de outra forma, seria legítimo.

O desafio para os utilizadores é saber se um QR Code é seguro antes de o digitalizarem. Compreender essa diferença começa por saber se QR Codes são seguros e quais os passos que pode seguir para verificar um destino antes de o abrir.

Quem são os alvos mais comuns dos ataques de «quishing»?

Os atacantes não visam todas as pessoas de forma igual. Concentram-se em setores que lidam com dinheiro, informações confidenciais ou grandes quantidades de documentos. Também visam os colaboradores cujas funções envolvem a aprovação de pagamentos, a gestão de contas ou a análise de pedidos.

Setores visados por ataques de quishing

Estes setores têm uma coisa em comum: muitos colaboradores lidam regularmente com faturas, formulários, aprovações e notificações contabilísticas. Os atacantes tiram partido desses fluxos de trabalho quotidianos, fazendo com que e- QR Codes maliciosos pareçam comunicações empresariais de rotina.

Funções frequentemente visadas por ataques de quishing

Embora certos setores enfrentem riscos mais elevados, os atacantes costumam concentrar-se em funcionários específicos que têm acesso a dinheiro, dados confidenciais ou sistemas empresariais importantes.

Executivos

Os executivos estão entre os grupos mais visados. De acordo com a Abnormal Security, os líderes de topo recebem 42 vezes mais ataques de «quishing» do que os restantes colaboradores. Os atacantes recorrem frequentemente a pedidos urgentes, documentos de aprovação ou avisos de verificação de conta, uma vez que os executivos têm acesso a informações confidenciais e a sistemas financeiros.

Equipas financeiras

Os colaboradores do departamento financeiro são um alvo comum de fraudes relacionadas com faturas e esquemas de pagamento. As suas funções exigem que analisem faturas, aprovem pagamentos e colaborem com fornecedores. Os atacantes sabem disso e, frequentemente, disfarçam e- QR Codes maliciosos como pedidos de pagamento ou documentos financeiros.

Equipas de TI

Os colaboradores de TI lidam regularmente com redefinições de palavras-passe, atualizações de autenticação multifator (MFA) e alertas de segurança. Os e-mails de phishing costumam copiar estas mensagens e utilizar QR Codes para direcionar as vítimas para páginas de início de sessão falsas.

Equipas de RH

Os colaboradores dos RH lidam com currículos, formulários de integração, documentos relativos a benefícios e registos dos colaboradores. Os atacantes podem disfarçar e-mails de «quishing» como documentos de recrutamento ou pedidos de colaboradores para obter acesso aos sistemas da empresa.

Trabalhadores da linha da frente e no terreno

Os funcionários em armazéns, fábricas, lojas de retalho e outros locais físicos enfrentam um risco diferente. Os atacantes podem colocar autocolantes falsos com o QR Code em equipamentos, quiosques, sinalética ou terminais de pagamento que os trabalhadores utilizam diariamente.

O fio condutor comum a todos estes alvos é a confiança. Os atacantes procuram situações em que a leitura de um QR Code pareça normal. Quanto mais familiar for o fluxo de trabalho, maior será a probabilidade de alguém ler o código primeiro e só depois fazer perguntas.

Como proteger a sua organização contra o quishing

O «quishing» funciona porque os atacantes escondem links maliciosos em QR Codes e convencem as pessoas a digitalizá-los. Para reduzir o risco, as organizações precisam de defesas que abranjam tanto a segurança do e-mail como a segurança de QR Code. As seis medidas de controlo abaixo podem ajudar.

1. Utilize ferramentas de segurança de e-mail capazes de inspecionar QR Codes

Os filtros de e-mail tradicionais são concebidos para analisar links e texto. Os ataques «quishing» ocultam o destino dentro de uma imagem QR Code.

As ferramentas modernas de segurança de e-mail conseguem descodificar QR Codes em e-mails e anexos e, em seguida, verificar se o destino é seguro. Sem esta capacidade, QR Codes maliciosos podem passar pelos controlos de segurança sem serem detetados.

As normas de autenticação de e-mail, como DMARC, SPF e DKIM, continuam a ser importantes, mas limitam-se a verificar o remetente. Não verificam o próprio QR Code.

2. Reforçar a proteção da conta com autenticação multifator (MFA) resistente ao phishing

Muitos ataques de phishing têm como objetivo roubar nomes de utilizador e palavras-passe. Uma autenticação multifator (MFA) robusta reduz o risco de uma palavra-passe roubada levar ao comprometimento da conta.

Sempre que possível, utilize métodos resistentes ao phishing, tais como chaves de segurança ou passkeys. Estes métodos tornam muito mais difícil aos atacantes acederem às contas, mesmo que um colaborador introduza a sua palavra-passe num site falso.

3. Limitar o acesso das contas comprometidas

Nenhum controlo de segurança é perfeito. As organizações devem partir do princípio de que alguns ataques acabarão por ser bem-sucedidos.

Limitar o acesso com base nas responsabilidades profissionais ajuda a reduzir os danos. Se os atacantes obtiverem acesso a uma conta, não devem poder movimentar-se livremente entre sistemas, dados e aplicações.

4. Formar os colaboradores para reconhecerem fraudes do tipo QR Code

A maioria dos programas de sensibilização para a segurança centra-se em links suspeitos. Os colaboradores também devem aprender como funciona o «quishing».

A formação deve abranger sinais de alerta comuns, tais como QR Codes inesperados em e-mails, pedidos urgentes de verificação de conta e autocolantes QR Code colocados sobre sinalética existente ou terminais de pagamento.

5. Incluir o «quishing» nos programas de segurança e conformidade

Várias agências federais, incluindo a Comissão Federal do Comércio (FTC), o FBI e a Agência de Cibersegurança e Segurança das Infraestruturas (CISA), alertaram para um ataque de phishing relacionado com o site QR Code.

As organizações devem rever as suas políticas de segurança existentes e garantir que o «quishing» seja incluído na formação dos colaboradores, nas avaliações de risco e nos procedimentos de resposta a incidentes. Isto é especialmente importante para setores regulamentados que já seguem quadros de cibersegurança e conformidade.

6. Criar um plano de resposta para incidentes com dispositivos móveis

Muitos ataques de «quishing» levam os utilizadores a passar de um dispositivo de trabalho para um telemóvel pessoal.

As organizações devem dispor de um processo claro para investigar denúncias de leituras maliciosas de QR Code, identificar contas expostas, redefinir credenciais e monitorizar atividades suspeitas.

O «quishing» difere do phishing tradicional porque oculta links maliciosos dentro de mensagens do tipo QR Codes e, frequentemente, redireciona os utilizadores de um dispositivo de trabalho para um telemóvel pessoal. Estas táticas podem tornar os ataques mais difíceis de detetar e reduzir a eficácia dos controlos de segurança concebidos para inspecionar links de texto e o conteúdo de e-mails.

À medida que a utilizaçã QR Code a continua a crescer, as organizações precisam de tratar o «quishing» como um risco de segurança distinto. As empresas que combinam segurança de e-mail sensível a QR Code, autenticação multifator (MFA) robusta, formação dos colaboradores e procedimentos de resposta claros estão melhor preparadas para prevenir ataques e limitar os danos caso algum seja bem-sucedido.

Mantenha o controlo sobre os QR Codes que a sua empresa cria

Nem todos os QR Codes são uma ameaça. As empresas utilizam QR Codes diariamente para pagamentos, documentos, experiências dos clientes e fluxos de trabalho operacionais. O desafio consiste em garantir que os utilizadores possam confiar no destino a que esses QR Codes conduzem.

The QR Code Generator (TQRCG) ajuda as empresas a criar códigos QR ( QR Codes ) que são rastreáveis, editáveis e ligados a destinos verificados. Isto proporciona às organizações uma maior visibilidade sobre a forma como os seus códigos QR ( QR Codes ) são utilizados e para onde direcionam os utilizadores.

TQRCG também cumpre os requisitos de segurança da enterprise através das certificações SOC 2 Tipo 2 e ISO 27001, bem como a conformidade com o RGPD. Em combinação com funcionalidades como o acompanhamento de digitalizações e a gestão de URLs de destino, estes controlos ajudam as empresas a manter uma segurança mais robusta do QR Code, reduzindo simultaneamente o risco de utilização indevida.