Cyberpediapor Brain
PTDEENESFRITNL

Quishing: a armadilha do código QR

Um código QR armadilhado esconde o endereço numa imagem e leva a uma página de início de sessão falsa. Como o reconhecer e o que fazer antes de ler.

Em 30 segundos

Onde acontece
E-mails, SMS, falsas faturas, cartazes, ementas, etiquetas de produtos, PDF ou folhas de cálculo partilhados1.
O que o atacante quer
Enviá-lo para uma página de início de sessão falsa, ou levá-lo a descarregar software malicioso1.
O reflexo
Antes de ler um código, confirme a sua origem por outro canal, por exemplo ligando ao remetente1.
Se já o fez
Não introduza credenciais nem dados de pagamento enquanto a autenticidade do site não estiver confirmada1. Denuncie a mensagem e depois elimine-a sem responder2.

Do que se trata

O quishing é um ataque de phishing que recorre a um código QR. O código é uma imagem: não mostra o endereço que contém, e o utilizador não o vê com antecedência1.

Para um colaborador, a armadilha está num gesto banal. Lê-se um código recebido num e-mail, colado num cartaz ou metido num documento partilhado, e chega-se a uma página que pede para iniciar sessão ou pagar1.

Perguntas diretas

O que é o quishing?

É phishing através de um código QR. A Proofpoint descreve-o como um ataque de engenharia social que redireciona as vítimas para sites maliciosos ou desencadeia downloads de software malicioso. Ao contrário do phishing clássico, que se baseia em ligações escritas por extenso, recorre a um código em forma de imagem1.

Porque é que um código QR é mais difícil de avaliar do que uma ligação?

Porque o endereço é invisível. A Proofpoint observa que o utilizador não consegue ver com antecedência o URL contido no código, o que torna a ferramenta explorável1.

Porque é que os filtros da empresa nem sempre o detetam?

Segundo a Proofpoint, o quishing contorna os filtros de correio eletrónico1. Tim Bedard, da IBM Expert Labs, citado na mesma página, explica que as ferramentas de segurança do e-mail procuram nas mensagens ligações suspeitas conhecidas, mas não analisam as imagens para encontrar ligações escondidas num código QR1. Existem soluções especializadas: extraem os códigos QR dos e-mails e dos anexos, como os PDF, descodificam o endereço e avaliam o seu risco1.

O meu telemóvel pessoal também está em causa?

Sim. A Proofpoint escreve que esta tática torna as organizações vulneráveis tanto através de dispositivos profissionais como de dispositivos pessoais1. A página não detalha mais este ponto.

O que fazer antes de ler o código?

A Proofpoint aconselha a confirmar a legitimidade de um código junto do remetente, por outro canal, como um telefonema, antes de ler um código recebido por e-mail, por SMS ou num local público1. A CISA acrescenta uma regra geral: se uma mensagem puder ser verdadeira, não clique em nenhuma ligação nem telefone para nenhum número que ela contenha; procure outra forma de contactar a empresa ou a pessoa2.

O que fazer se o código parecer suspeito?

A CISA recomenda denunciar a mensagem e depois eliminá-la sem responder2. O NCSC britânico lembra que denunciar uma mensagem fraudulenta é gratuito e leva um minuto, e que tem poderes para investigar endereços e sites fraudulentos com vista a que sejam retirados3. Numa empresa, a Proofpoint recomenda canais claros para que os colaboradores possam denunciar um código suspeito sem receio de represálias1. O NCSC observa, por seu lado, que os colaboradores que temem pelo emprego não denunciam os seus erros4.

1Na pele do atacante1 min

Segundo a Proofpoint, o método segue quatro etapas1.

  • Criar o código. Ferramentas gratuitas em linha produzem códigos QR que apontam para um site de phishing ou para um domínio que aloja software malicioso.
  • Difundi-lo. O código é colocado num e-mail de phishing, numa falsa fatura, num cartaz, numa ementa de restaurante, ou colado sobre um código QR legítimo.
  • Pressionar para agir depressa. As mensagens convidam a uma ação imediata, por exemplo "Scan to unlock a discount" ou "Verify your account".
  • Explorar a leitura. A vítima chega a uma página de início de sessão falsa, a um coletor de credenciais ou a um download de software malicioso.

O MITRE ATT&CK inclui o phishing entre as técnicas de acesso inicial. Descreve a usurpação da identidade do remetente, que pode enganar tanto o destinatário como as ferramentas de segurança automáticas, e o "thread hijacking" (sequestro de conversa): o atacante inclui o alvo numa conversa existente cujas mensagens contêm ficheiros ou ligações maliciosas5. A página do MITRE consultada não fala de códigos QR: estes truques são os do phishing em geral.

2O que vê no ecrã1 min

A mensagem típica pede para ler um código, muitas vezes com um motivo premente. A Proofpoint cita "Scan to avoid account suspension" como exemplo de isco baseado na urgência1. Os códigos apresentam-se também como alertas de "verificação de conta" ou avisos de expedição, com um banco, uma administração pública ou um fornecedor como remetente aparente1.

Em locais públicos, a Proofpoint cita as ementas de restaurante, os parquímetros, os cartazes de lojas e os folhetos de eventos, com promessas de descontos, de acesso WiFi ou de conteúdo exclusivo1. Na empresa, os códigos podem esconder-se em PDF ou folhas de cálculo internos que se fazem passar por inquéritos ou materiais de formação1.

Depois de a página aberta, a CISA enumera os sinais clássicos de phishing: linguagem urgente ou emotiva, pedido de informações pessoais ou financeiras, endereços encurtados pouco fiáveis, endereços ou ligações errados como "amazan.com"2. A Proofpoint cita, por seu lado, "arnazon.com"1. A CISA precisa que o antigo sinal dos erros de ortografia já não é seguro: na era da inteligência artificial, alguns e-mails têm uma gramática perfeita2.

O NCSC avisa que nenhuma formação permite detetar todas as tentativas, e que examinar cada e-mail ao pormenor não deixaria horas suficientes para o trabalho4.

3Por baixo do capôEquipas de TI1 min

Um código QR é uma matriz legível por máquina que pode conter até 7089 carateres numéricos ou URL, acessível com a câmara de um smartphone ou uma aplicação de leitura. A sua conceção inclui uma correção de erros, que lhe permite funcionar mesmo parcialmente danificado1.

Do lado da defesa, a Proofpoint descreve várias camadas. Os motores de análise usam modelos de visão por computador para encontrar os códigos QR nos e-mails, descodificar os endereços e avaliar o seu risco. A sandbox em linha extrai os códigos dos anexos e simula a visita aos endereços num ambiente isolado antes da entrega. Segundo a Microsoft, citada pela Proofpoint, esta verificação antes da entrega bloqueou cerca de 1,5 milhões de tentativas de quishing por dia em 20241.

Contra as credenciais roubadas nestas páginas falsas, a Proofpoint recomenda a autenticação multifator, e os protocolos DMARC, SPF e DKIM contra os e-mails usurpados1. O NCSC explica que o DMARC impede os autores de phishing de usurpar o domínio de uma organização, e que são precisas várias camadas de defesa em vez de apostar só no olho dos utilizadores, porque alguns ataques passarão sempre4.

4AutópsiasCasos reais1 min

2023: falsas faturas de empresa

A Proofpoint relata um ataque de 2023 que imitava faturas de empresa. Os funcionários eram encaminhados para falsos portais de pagamento1. A página não nomeia nem a empresa visada nem o autor do ataque.

2024: ementas de restaurante cobertas

Segundo a Proofpoint, uma campanha de 2024 visou cadeias de restaurantes sobrepondo códigos QR maliciosos às ementas impressas. Os clientes eram redirecionados para páginas de recolha de credenciais que imitavam programas de fidelização1. Também aqui, a fonte não indica o nome da cadeia.

Estes dois casos vêm de uma única fonte comercial, que não dá números de vítimas. O NCSC britânico publicou também, a 8 de fevereiro de 2024, um artigo intitulado "QR Codes - what's the real risk?", de que a página consultada reproduz apenas o título e uma frase de abertura3.

Ficha

Identificador
CP-006
Ala
1. Ataques e técnicas
Competência Brain
Detetar o phishing (detect_phishing)
Reflexo Brain
cr-006
Esquema
G1 · Cadeia de ataque (Kill Chain)
Idiomas
de, en, es, fr, it, nl, pt
Fontes
5 fontes verificadas em 3 de novembro de 2026
Fontes5 fontes
  1. Proofpoint, «What Is Quishing (QR Phishing)? Definition | Proofpoint US», 31 de março de 2025. https://www.proofpoint.com/us/threat-reference/quishing (consultado em 3 de novembro de 2026)
  2. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultado em 3 de novembro de 2026)
  3. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 de novembro de 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultado em 3 de novembro de 2026)
  4. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de fevereiro de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Quishing: a armadilha do código QR», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/quishing-codigo-qr-armadilha/

BibTeX 
@misc{brain_cp006_pt_2026,
  author = {Brain},
  title = {Quishing: a armadilha do código QR},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/quishing-codigo-qr-armadilha/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0