Os códigos QR tornaram-se uma ferramenta cotidiana para fazer pagamentos, acessar cardápios e conectar-se a serviços digitais. Mas essa familiaridade também tem sido explorada por cibercriminosos para impulsionar ainda mais as fraudes online. A empresa de segurança ESET detectou um aumento significativo no quishing, uma variante do phishing que usa esses códigos pontilhados para direcionar usuários a sites maliciosos sem que eles consigam ler o URL de destino.
Os dados mais recentes falam por si : o Relatório de Ameaças da ESET para o primeiro semestre de 2026 indica que códigos QR maliciosos aparecem em 11% de todos os e-mails de phishing, com uma média de mais de 100.000 detecções por mês. De fato, a Espanha ocupa o segundo lugar no mundo em número de ataques desse tipo, atrás apenas dos Estados Unidos.
O que é o fenômeno "quishing" e por que ele está em plena expansão?
O quishing é essencialmente uma variante do phishing clássico, mas com um elemento extra: o link malicioso está oculto dentro de um código QR. O usuário escaneia a imagem e acaba em um site fraudulento que pode roubar suas senhas bancárias, credenciais de login ou até mesmo instalar malware em seu dispositivo.
Um dos motivos do seu sucesso é que o destino do link não é imediatamente visível. Em um e-mail suspeito, é possível ver o domínio ilegítimo; aqui, tudo está comprimido em um quadrado de pixels. Além disso, esses códigos são incorporados às mensagens como uma imagem ou PDF anexado, burlando muitos filtros de segurança de e-mail. E o truque é ainda mais eficaz porque transfere a comunicação do computador do trabalho para o celular, um dispositivo que muitas vezes não possui o mesmo nível de proteção.
A engenharia social também desempenha um papel significativo. Criminosos usam a imagem de marcas conhecidas, como DocuSign ou Microsoft, e exploram situações urgentes, por exemplo, avisando que a conta será suspensa se não for autenticada. Como resultado, a mensagem chega à caixa de entrada e o funcionário não encontra nenhum dos indicadores usuais de phishing, pois não há texto para ler no link.
Quishing na Espanha, um alerta que não para
A Espanha tornou-se um importante foco para esse tipo de fraude. A ESET estima que 17% das detecções globais de quishing estejam concentradas no país, confirmando que a técnica encontrou terreno fértil. Um dos casos mais representativos foi resolvido graças à intervenção do Instituto Nacional de Cibersegurança (INCIBE). Um cliente de um restaurante escaneou o código QR no cardápio, que havia sido alterado, e, sem saber, assinou um serviço premium.
A OCU (Organização Espanhola de Consumidores) também destacou o problema de códigos QR falsos afixados em carros para simular multas de trânsito. Quando a vítima escaneia o código para pagar a multa, ela fornece os dados do seu cartão a um site fraudulento. Esses golpes não param por aí: adesivos com códigos QR falsos foram vistos cobrindo os códigos legítimos de parquímetros e bicicletas compartilhadas. Os golpistas cobrem o código original com um código impresso que direciona para o seu próprio domínio.
Os laboratórios da ESET indicam que abril de 2026 marcou o pico de detecções, embora a série temporal já tivesse começado a mostrar um aumento constante. A segurança móvel e o e-mail corporativo são a principal proteção, mas os hábitos negligentes dos usuários fazem o resto.
Outros lados da fraude com QR Code
Não se trata apenas de fraudes em larga escala contra clientes de restaurantes. O Serviço de Receita Federal dos EUA (IRS) também detectou campanhas envolvendo cartas físicas disfarçadas de notificações fiscais, contendo um código QR que promete verificação de contas ou documentação para proprietários de criptomoedas. Ao escanear o código, a vítima é direcionada para um site que solicita frases-semente ou chaves privadas — o elemento que concede controle sobre os fundos digitais.
O papel dos Estados também está por trás dessas armadilhas . Um alerta do FBI de janeiro de 2026 mencionou o grupo Kimsuky, supostamente ligado à Coreia do Norte, como responsável por ataques de ciberespionagem com códigos QR, nos quais utilizavam pretextos como documentos ou formulários governamentais para obter acesso a organizações de pesquisa. Em outras palavras, a técnica também se infiltrou no arsenal de grupos APT, com o objetivo de comprometer redes de alto valor.
Como se proteger contra o esmagamento
A principal defesa contra esse tipo de fraude é algo tão básico quanto aprender a ser cético. A INCIBE recomenda que você pare antes de escanear qualquer código QR afixado em um local público. Se o adesivo parecer estar descascando, apresentar sinais de adulteração ou estiver diretamente sobre outro código, não o utilize. No caso de e-mails, desconfie de qualquer mensagem não solicitada que o incentive a escanear um código QR, especialmente se houver uma pressão de tempo excessiva.
Também é uma boa ideia verificar o URL para o qual o código direciona. Se o seu celular oferece uma pré-visualização do link, procure por erros de digitação, domínios encurtados ou variações estranhas de sites conhecidos. Desativar a abertura automática do link ao escanear um código QR é outra camada útil de proteção, tanto em sistemas iOS quanto Android. E nunca forneça informações de pagamento, credenciais ou dados da carteira digital sem verificar, por outro meio, se a solicitação é legítima.
Para empresas, os especialistas da ESET recomendam incluir o quishing em programas de conscientização e simulações de phishing. A tecnologia é outro elemento fundamental: filtros de e-mail capazes de extrair e analisar códigos QR em arquivos, proteção para dispositivos móveis corporativos e autenticação resistente a phishing para contas com privilégios elevados. Aplicar o princípio do menor privilégio e manter o software atualizado são medidas adicionais que impedem que uma varredura maliciosa se transforme em uma falha crítica de segurança da rede.
A popularidade dos códigos QR não é novidade, mas a ameaça que representam também não. O quishing consolidou-se como uma ameaça que utiliza a leitura de um código binário para transmitir dados, e as medidas eficazes contra o phishing baseado em texto também funcionam neste caso, desde que aplicadas com bom senso. A Espanha já está na mira, e a diferença entre ser vítima e evitar um susto reside no simples hábito de verificar, antes de escanear o código, se o destino não é uma fraude.