--- id: CP-006 slug: quishing-codigo-qr-armadilha lang: pt title: "Quishing: a armadilha do código QR" description: Um código QR armadilhado esconde o endereço numa imagem e leva a uma página de início de sessão falsa. Como o reconhecer e o que fazer antes de ler. canonical_url: https://startbrain.io/cyberpedia/pt/articles/quishing-codigo-qr-armadilha/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/quishing-codigo-qr-armadilha.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Quishing: a armadilha do código QR», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/quishing-codigo-qr-armadilha/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-006 schema: G1 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/quishing-codigo-qr-armadilha/ fr: https://startbrain.io/cyberpedia/fr/articles/quishing-qr-code-pieges/ en: https://startbrain.io/cyberpedia/en/articles/quishing-qr-code-phishing/ de: https://startbrain.io/cyberpedia/de/articles/quishing-qr-code-falle/ es: https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa/ it: https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/ nl: https://startbrain.io/cyberpedia/nl/articles/quishing-qr-code-valkuil/ sources: - "n": 1 title: What Is Quishing (QR Phishing)? Definition | Proofpoint US publisher: Proofpoint url: https://www.proofpoint.com/us/threat-reference/quishing published: "2025-03-31" accessed: "2026-11-03" - "n": 2 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 5 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Quishing: a armadilha do código QR O quishing é um ataque de phishing que recorre a um código QR. O código é uma imagem: não mostra o endereço que contém, e o utilizador não o vê com antecedência [1]. Para um colaborador, a armadilha está num gesto banal. Lê-se um código recebido num e-mail, colado num cartaz ou metido num documento partilhado, e chega-se a uma página que pede para iniciar sessão ou pagar [1]. ## Em 30 segundos - Onde acontece: e-mails, SMS, falsas faturas, cartazes, ementas, etiquetas de produtos, PDF ou folhas de cálculo partilhados [1]. - O que o atacante quer: enviá-lo para uma página de início de sessão falsa, ou levá-lo a descarregar software malicioso [1]. - O reflexo: antes de ler um código, confirme a sua origem por outro canal, por exemplo ligando ao remetente [1]. - Se já o fez: não introduza credenciais nem dados de pagamento enquanto a autenticidade do site não estiver confirmada [1]. Denuncie a mensagem e depois elimine-a sem responder [2]. ## Perguntas diretas ### O que é o quishing? É phishing através de um código QR. A Proofpoint descreve-o como um ataque de engenharia social que redireciona as vítimas para sites maliciosos ou desencadeia downloads de software malicioso. Ao contrário do phishing clássico, que se baseia em ligações escritas por extenso, recorre a um código em forma de imagem [1]. ### Porque é que um código QR é mais difícil de avaliar do que uma ligação? Porque o endereço é invisível. A Proofpoint observa que o utilizador não consegue ver com antecedência o URL contido no código, o que torna a ferramenta explorável [1]. ### Porque é que os filtros da empresa nem sempre o detetam? Segundo a Proofpoint, o quishing contorna os filtros de correio eletrónico [1]. Tim Bedard, da IBM Expert Labs, citado na mesma página, explica que as ferramentas de segurança do e-mail procuram nas mensagens ligações suspeitas conhecidas, mas não analisam as imagens para encontrar ligações escondidas num código QR [1]. Existem soluções especializadas: extraem os códigos QR dos e-mails e dos anexos, como os PDF, descodificam o endereço e avaliam o seu risco [1]. ### O meu telemóvel pessoal também está em causa? Sim. A Proofpoint escreve que esta tática torna as organizações vulneráveis tanto através de dispositivos profissionais como de dispositivos pessoais [1]. A página não detalha mais este ponto. ### O que fazer antes de ler o código? A Proofpoint aconselha a confirmar a legitimidade de um código junto do remetente, por outro canal, como um telefonema, antes de ler um código recebido por e-mail, por SMS ou num local público [1]. A CISA acrescenta uma regra geral: se uma mensagem puder ser verdadeira, não clique em nenhuma ligação nem telefone para nenhum número que ela contenha; procure outra forma de contactar a empresa ou a pessoa [2]. ### O que fazer se o código parecer suspeito? A CISA recomenda denunciar a mensagem e depois eliminá-la sem responder [2]. O NCSC britânico lembra que denunciar uma mensagem fraudulenta é gratuito e leva um minuto, e que tem poderes para investigar endereços e sites fraudulentos com vista a que sejam retirados [3]. Numa empresa, a Proofpoint recomenda canais claros para que os colaboradores possam denunciar um código suspeito sem receio de represálias [1]. O NCSC observa, por seu lado, que os colaboradores que temem pelo emprego não denunciam os seus erros [4]. ## Na pele do atacante Segundo a Proofpoint, o método segue quatro etapas [1]. - Criar o código. Ferramentas gratuitas em linha produzem códigos QR que apontam para um site de phishing ou para um domínio que aloja software malicioso. - Difundi-lo. O código é colocado num e-mail de phishing, numa falsa fatura, num cartaz, numa ementa de restaurante, ou colado sobre um código QR legítimo. - Pressionar para agir depressa. As mensagens convidam a uma ação imediata, por exemplo "Scan to unlock a discount" ou "Verify your account". - Explorar a leitura. A vítima chega a uma página de início de sessão falsa, a um coletor de credenciais ou a um download de software malicioso. O MITRE ATT&CK inclui o phishing entre as técnicas de acesso inicial. Descreve a usurpação da identidade do remetente, que pode enganar tanto o destinatário como as ferramentas de segurança automáticas, e o "thread hijacking" (sequestro de conversa): o atacante inclui o alvo numa conversa existente cujas mensagens contêm ficheiros ou ligações maliciosas [5]. A página do MITRE consultada não fala de códigos QR: estes truques são os do phishing em geral. ## O que vê no ecrã A mensagem típica pede para ler um código, muitas vezes com um motivo premente. A Proofpoint cita "Scan to avoid account suspension" como exemplo de isco baseado na urgência [1]. Os códigos apresentam-se também como alertas de "verificação de conta" ou avisos de expedição, com um banco, uma administração pública ou um fornecedor como remetente aparente [1]. Em locais públicos, a Proofpoint cita as ementas de restaurante, os parquímetros, os cartazes de lojas e os folhetos de eventos, com promessas de descontos, de acesso WiFi ou de conteúdo exclusivo [1]. Na empresa, os códigos podem esconder-se em PDF ou folhas de cálculo internos que se fazem passar por inquéritos ou materiais de formação [1]. Depois de a página aberta, a CISA enumera os sinais clássicos de phishing: linguagem urgente ou emotiva, pedido de informações pessoais ou financeiras, endereços encurtados pouco fiáveis, endereços ou ligações errados como "amazan.com" [2]. A Proofpoint cita, por seu lado, "arnazon.com" [1]. A CISA precisa que o antigo sinal dos erros de ortografia já não é seguro: na era da inteligência artificial, alguns e-mails têm uma gramática perfeita [2]. O NCSC avisa que nenhuma formação permite detetar todas as tentativas, e que examinar cada e-mail ao pormenor não deixaria horas suficientes para o trabalho [4]. ## Por baixo do capô Um código QR é uma matriz legível por máquina que pode conter até 7089 carateres numéricos ou URL, acessível com a câmara de um smartphone ou uma aplicação de leitura. A sua conceção inclui uma correção de erros, que lhe permite funcionar mesmo parcialmente danificado [1]. Do lado da defesa, a Proofpoint descreve várias camadas. Os motores de análise usam modelos de visão por computador para encontrar os códigos QR nos e-mails, descodificar os endereços e avaliar o seu risco. A sandbox em linha extrai os códigos dos anexos e simula a visita aos endereços num ambiente isolado antes da entrega. Segundo a Microsoft, citada pela Proofpoint, esta verificação antes da entrega bloqueou cerca de 1,5 milhões de tentativas de quishing por dia em 2024 [1]. Contra as credenciais roubadas nestas páginas falsas, a Proofpoint recomenda a autenticação multifator, e os protocolos DMARC, SPF e DKIM contra os e-mails usurpados [1]. O NCSC explica que o DMARC impede os autores de phishing de usurpar o domínio de uma organização, e que são precisas várias camadas de defesa em vez de apostar só no olho dos utilizadores, porque alguns ataques passarão sempre [4]. ## Autópsias ### 2023: falsas faturas de empresa A Proofpoint relata um ataque de 2023 que imitava faturas de empresa. Os funcionários eram encaminhados para falsos portais de pagamento [1]. A página não nomeia nem a empresa visada nem o autor do ataque. ### 2024: ementas de restaurante cobertas Segundo a Proofpoint, uma campanha de 2024 visou cadeias de restaurantes sobrepondo códigos QR maliciosos às ementas impressas. Os clientes eram redirecionados para páginas de recolha de credenciais que imitavam programas de fidelização [1]. Também aqui, a fonte não indica o nome da cadeia. Estes dois casos vêm de uma única fonte comercial, que não dá números de vítimas. O NCSC britânico publicou também, a 8 de fevereiro de 2024, um artigo intitulado "QR Codes - what's the real risk?", de que a página consultada reproduz apenas o título e uma frase de abertura [3]. ## Fontes 1. Proofpoint, «What Is Quishing (QR Phishing)? Definition | Proofpoint US», 31 de março de 2025. https://www.proofpoint.com/us/threat-reference/quishing (consultado em 3 de novembro de 2026) 2. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado em 3 de novembro de 2026) 3. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de novembro de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado em 3 de novembro de 2026) 4. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/quishing-codigo-qr-armadilha/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.