O quishing tornou-se uma das ameaças de crescimento mais rápido dentro do phishing. A ideia é simples: um código QR aparentemente inofensivo esconde um endereço fraudulento. A Microsoft quantificou esse crescimento: em março de 2026, detectou 18,7 milhões desses ataques , em comparação com 7,6 milhões em janeiro, representando um aumento de 146% em apenas três meses.
O problema reside em ações que se tornaram parte da nossa rotina diária. Consultar o menu de um restaurante, pagar o estacionamento, descarregar um bilhete ou pesquisar informações turísticas tornaram-se corriqueiros. Os cibercriminosos exploram essa familiaridade. Especialistas da Áudea, a unidade de cibersegurança da Logicalis Espanha, salientam que o endereço web permanece oculto até que o link seja aberto, reduzindo assim os sinais de alerta que um utilizador poderia detetar à primeira vista.
Por que um código QR esconde o engano e salta do computador para o celular?
Ao contrário de um link de texto, um código QR não exibe o URL antes da leitura. Andrés Cartes Guilarte, consultor de cultura de cibersegurança da Áudea, destaca que essa opacidade é uma das maiores vantagens para os atacantes. O usuário não consegue verificar se o destino é legítimo e, em muitos casos, a leitura é feita a partir de um celular , o que transfere a interação do computador corporativo para além dos controles de segurança da empresa.
Ao clicar no link, a vítima pode ser redirecionada para páginas que imitam serviços corporativos, plataformas bancárias ou telas de autenticação. O objetivo varia de acordo com o tipo de fraude, mas geralmente envolve a obtenção de credenciais, dados pessoais ou informações financeiras . Essa falsificação torna-se mais convincente quando a mensagem chega em um contexto familiar, como uma suposta comunicação interna ou uma notificação de uma entidade que o usuário utiliza regularmente.
A Microsoft também identificou aproximadamente 8.300 bilhões de ameaças de phishing distribuídas por e-mail durante o mesmo período. A empresa descreveu o quishing como o vetor de ataque de crescimento mais rápido nesse período, uma tendência que se alinha com o uso crescente de códigos QR em todos os tipos de ambientes.
PDFs, e-mails e documentos do Microsoft 365: os canais preferenciais
O Relatório de Ameaças por E-mail de 2026 da Barracuda revela diversas descobertas impressionantes. 70% dos PDFs maliciosos analisados continham códigos QR que levavam a páginas de phishing. Em outras palavras, o documento serve como disfarce para enganar a vítima, fazendo-a confiar no arquivo e não suspeitar do código contido nele.
O mesmo relatório detalha que 56% dos documentos maliciosos do Microsoft 365 incluíam técnicas de quishing. Além disso, códigos incorporados diretamente no corpo de e-mails aumentaram 336% em março de 2026. Os atacantes não se limitam a anexos: eles também estão inserindo o código QR no próprio texto da mensagem para aumentar as chances de alguém o escanear.
O Relatório de Ameaças da ESET para o primeiro semestre de 2026 indica que até 11% de todos os ataques de phishing no primeiro semestre do ano foram realizados usando o método quishing. A empresa alerta que essas técnicas estão se tornando mais sofisticadas: algumas campanhas visam obter tokens de autenticação multifatorial, instalar malware, enganar as vítimas para que baixem aplicativos maliciosos ou usar aplicativos legítimos de celular como parte do golpe.
Josep Albors, chefe de pesquisa e conscientização da ESET Espanha, explica que os atacantes podem disfarçar ainda mais o código incorporando-o em PDFs, imagens JPEG ou outros documentos , ou usando serviços que encurtam URLs antes de gerar o código QR. Ao mesmo tempo, a mensagem que acompanha o código pode conter muito pouco texto, eliminando pistas clássicas como erros ortográficos, links visíveis ou domínios incomuns.
Do cardápio do restaurante ao estacionamento: riscos físicos e medidas de defesa
O perigo não se limita à sua caixa de entrada. Os códigos QR colocados em restaurantes, lojas, transportes públicos, estacionamentos e serviços turísticos apresentam o mesmo problema: não é possível verificar qual página será exibida antes de escaneá-los. Além disso, em espaços públicos, o código pode ter sido adulterado ou substituído por um código falso.
Em agosto, a INCIBE documentou um caso real que ilustra perfeitamente o risco. Um usuário escaneou o código QR do cardápio de um restaurante e, após clicar no link e aceitar uma janela pop-up, ativou inadvertidamente uma assinatura premium não solicitada . Outros clientes do mesmo estabelecimento vivenciaram situações semelhantes, demonstrando que o problema não era um incidente isolado envolvendo um único indivíduo.
A expansão dessa tecnologia explica parte do fenômeno. Segundo dados compilados pela QR TIGER, cerca de 75% dos restaurantes em todo o mundo já utilizam códigos QR para facilitar o acesso a cardápios digitais. O uso dessa ferramenta em marketing e publicidade cresceu 323% entre 2021 e 2023, um número que ajuda a explicar por que os criminosos têm se concentrado nela.
Para empresas, a ESET recomenda incluir o método de leitura de códigos QR em programas de conscientização e exercícios de simulação para que os funcionários aprendam a reconhecer códigos QR suspeitos. A empresa também desaconselha a leitura de códigos em e-mails não solicitados e recomenda a denúncia de quaisquer mensagens suspeitas.
Quando um funcionário acredita que uma mensagem provém de uma fonte confiável, é aconselhável verificá-la por meio de um canal independente , utilizando informações de contato que não constem no próprio e-mail. Essa verificação impede que a confirmação dependa de informações enviadas pelo potencial atacante.
A proteção técnica também é importante. Entre as medidas mencionadas estão soluções de segurança de e-mail, ferramentas de segurança móvel, gerenciamento de dispositivos via MDM, autenticação multifator resistente a phishing , o princípio do menor privilégio, acesso just-in-time, atualizações regulares e monitoramento de comportamentos anômalos. Além disso, é essencial testar os planos de resposta a incidentes para garantir uma resposta rápida caso ocorra um ataque.
- Segurança de e-mail e dispositivos móveis Para bloquear links e códigos maliciosos.
- Gerenciamento de Dispositivos MDM Aplicar políticas mínimas.
- MFA resistente a phishing e o princípio do menor privilégio.
- Atualizações, acesso sob demanda e supervisão contínua.
O padrão revelado por todos esses dados é claro: os códigos QR encontraram um nicho no cotidiano por serem convenientes, rápidos e onipresentes. Essa mesma onipresença é o que os torna uma ameaça difícil de detectar. A chave é estar atento ao inesperado , verificar o contexto antes de escanear e implementar medidas de segurança que acompanhem o usuário desde o e-mail até dispositivos móveis, incluindo documentos e espaços físicos.
