As fraudes que utilizam códigos QR foram a sétima ameaça por email mais detetada pela ESET em Portugal entre dezembro de 2025 e maio de 2026. Esta categoria representou 4,8% do total de deteções nacionais de ameaças por email durante o período analisado.
A nível global, cerca de 11% de todos os emails de phishing detetados pela ESET utilizavam códigos QR. A empresa registou uma média de aproximadamente 100 mil deteções mensais deste tipo de ameaça, com o volume mais elevado a ocorrer em abril. A técnica atingiu o nível mais alto observado desde que a ESET começou a acompanhá-la separadamente, em setembro de 2025.
Conhecida como quishing, esta forma de fraude utiliza códigos QR para esconder ligações que encaminham as vítimas para páginas fraudulentas. O objetivo é normalmente roubar credenciais, dados financeiros ou outra informação sensível.
«O quishing é particularmente eficaz porque reduz a visibilidade do ataque. A ligação maliciosa não aparece diretamente no corpo do email e a interação passa frequentemente para um telemóvel, onde o utilizador pode não beneficiar dos mesmos controlos de segurança. Esta combinação aumenta significativamente a probabilidade de sucesso da fraude», afirma Ricardo Neves, Responsável de Comunicação da ESET Portugal.
Falsas comunicações sobre salários e benefícios
Um ataque típico começa com um email que se faz passar por uma comunicação legítima de uma empresa, de um departamento de recursos humanos ou de uma plataforma empresarial conhecida.
Em vez de apresentar uma ligação visível, a mensagem inclui um código QR e pede ao destinatário que o leia com o telemóvel para consultar um documento, confirmar uma informação ou concluir uma tarefa alegadamente urgente.
Entre os exemplos analisados pela ESET encontram-se falsas comunicações sobre alterações salariais, benefícios laborais e documentos que necessitam de aprovação ou assinatura. Algumas campanhas imitam também serviços conhecidos, como a DocuSign.
Depois da leitura, o código apresenta uma ligação que conduz o utilizador a uma página fraudulenta. Esta pode reproduzir a aparência de um serviço legítimo e solicitar credenciais profissionais, dados bancários ou outra informação confidencial.
O ataque passa do computador para o telemóvel
Uma das principais vantagens desta técnica para os atacantes é a mudança de dispositivo. A mensagem pode chegar a um computador protegido por várias camadas de segurança, mas a leitura do código transfere a interação para um telemóvel pessoal ou não gerido pela organização. Esse dispositivo pode não dispor dos mesmos controlos de segurança.
Ao mesmo tempo, como a ligação está codificada numa imagem, o utilizador não consegue avaliar imediatamente o endereço e alguns sistemas tradicionais de segurança de email podem ter maior dificuldade em analisá-lo.
A fraude também chega aos espaços públicos
A utilização fraudulenta de códigos QR não se limita ao email. O relatório refere também casos em que os atacantes colocam códigos falsos em locais onde as pessoas esperam encontrá-los, incluindo parquímetros, bicicletas partilhadas e outros serviços de pagamento.
Foram ainda observadas falsas multas de estacionamento e notificações fraudulentas de portagens.
Nestes casos, a leitura do código pode encaminhar a vítima para uma página criada para recolher dados de cartões bancários ou outras informações financeiras.
Como reduzir o risco?
A ESET recomenda que os utilizadores tratem qualquer código QR recebido por email ou mensagem com o mesmo cuidado aplicado a uma ligação desconhecida. Antes da leitura, é importante confirmar se a comunicação era esperada, verificar a identidade do remetente e desconfiar de pedidos que criem urgência ou prometam acesso imediato a informações sobre salários, benefícios, pagamentos ou documentos.
Depois de ler o código, o utilizador é encaminhado para uma página fraudulenta, que pode reproduzir a aparência de um serviço legítimo e solicitar credenciais profissionais, dados bancários ou outra informação confidencial.
As organizações devem também adotar soluções capazes de identificar ligações maliciosas escondidas em códigos QR, proteger os dispositivos móveis e sensibilizar os colaboradores para esta forma de fraude.
Total Views:
0
