--- id: "phishing-003" title: "Quishing: como o phishing por código QR contorna a segurança da sua empresa" description: "Descubra como o quishing contorna filtros antispam ao mover o ataque para o telemóvel pessoal, e saiba como proteger as suas equipas." canonical: https://startbrain.io/pt/ciberseguranca/quishing-como-phishing-qr-code-contorna-seguranca/ slug: "quishing-como-phishing-qr-code-contorna-seguranca" date: "2026-10-03" category: "phishing" product: "superphisher" lang: pt author: "Brain Security · I&D Ciber e Fator Humano" frameworks: "CNCS · QNRCS · NIS 2 · DORA · RGPD · ISO 27001" --- # Quishing (Phishing por Código QR): A ameaça que contorna os seus filtros antispam Imagine o seguinte cenário: a sua organização implementou os gateways de correio eletrónico mais rigorosos do mercado, um EDR moderno em cada posto de trabalho e autenticação multifator sistemática. Contudo, numa segunda-feira de manhã, as credenciais de acesso de um responsável financeiro surgem comprometidas sem que nenhum alerta técnico tenha disparado. O vetor de ataque não foi um anexo executável, nem uma ligação suspeita no corpo da mensagem. Foi apenas um quadrado a preto e branco inserido num ficheiro PDF aparentemente inócuo, a solicitar a renovação de um acesso seguro. O quishing, contração de QR code e phishing, representa hoje uma rutura operacional relevante para as equipas de cibersegurança. Ao induzir o colaborador a ler um código gráfico através do seu telemóvel pessoal, o atacante quebra o perímetro defensivo delineado pela direção de sistemas de informação e sai deliberadamente do raio de ação das ferramentas corporativas de monitorização. --- ## O que é o quishing e por que razão neutraliza os gateways de email? > **Em resumo: O quishing utiliza um código QR para ocultar um URL malicioso dentro de uma imagem. Os gateways tradicionais de email analisam frequentemente apenas texto simples, permitindo que o código alcance a caixa de entrada sem ser travado pelo antispam.** Num ataque convencional, o gateway de segurança (Secure Email Gateway) inspeciona as hiperligações no corpo da mensagem, avalia a reputação desses endereços em bases de dados de threat intelligence e processa anexos suspeitos numa sandbox. No caso do quishing, a armadilha torna-se invisível para estes mecanismos primários. O URL não existe sob a forma de texto legível na mensagem: encontra-se codificado graficamente como uma matriz de píxeis, quase sempre incorporado numa imagem PNG ou embutido num ficheiro PDF. Para intercetar esta ameaça em tempo útil, os sistemas de filtragem precisam de recorrer a reconhecimento ótico de caracteres (OCR) ou descodificar em tempo real qualquer elemento gráfico bidimensional. Este processamento consome elevados recursos de computação e provoca uma latência que muitas infraestruturas empresariais não suportam em grande escala. Além disso, os atacantes ajustam continuamente os seus métodos de dissimulação: alteram subtilmente o contraste, inserem logótipos no centro do código QR ou aplicam redirecionamentos condicionais que apenas abrem a página maliciosa se o pedido tiver origem num navegador móvel. Perante isto, o gateway valida a mensagem e deixa-a passar legitimamente. --- ## A armadilha do canal cruzado: do computador de trabalho para o telemóvel pessoal > **Em resumo: Ao forçar a utilização da câmara fotográfica do telemóvel para ler o código QR, o cibercriminoso contorna o EDR do posto de trabalho e explora um dispositivo pessoal sem filtragem de DNS nem controlos de rede corporativos.** O verdadeiro perigo do quishing reside nesta transição de contexto, classificada tecnicamente como um ataque cross-device. Enquanto o colaborador consulta o email num computador protegido por políticas restritas de segurança, a mensagem recebida convida-o formalmente a usar o telemóvel para validar uma ação: sincronizar uma aplicação autenticadora, atualizar palavras-passe ou resolver uma suposta pendência administrativa interna. No instante em que o colaborador aponta a câmara do seu smartphone pessoal (BYOD) para o ecrã do computador corporativo: - **O isolamento do EDR desaparece:** o telemóvel pessoal não dispõe habitualmente de agentes de telemetria nem de ferramentas empresariais de filtragem de navegação. - **A proteção de rede é neutralizada:** a ligação ocorre via rede móvel 4G ou 5G do operador comercial, ultrapassando os proxies corporativos e as políticas de bloqueio de DNS da empresa. - **A interface móvel oculta detalhes críticos:** os navegadores para smartphone compactam as barras de endereço para rentabilizar o espaço do ecrã, tornando domínios fraudulentos ou ataques de typosquatting quase impercetíveis a olho nu. Importa notar que este vetor não opera apenas dentro das caixas de correio. Os atacantes exploram igualmente o espaço físico. Surgem com frequência códigos QR maliciosos colados em postos de carregamento de veículos elétricos nos parques de estacionamento das empresas, em notificações impressas que simulam comunicados de recursos humanos ou em avisos afixados nas copas que convidam a aceder a uma nova plataforma colaborativa. --- ## Como proteger eficazmente as suas equipas contra o phishing por código QR? Perante uma ameaça capaz de iludir as barreiras técnicas habituais, a defesa sustentável assenta na vigilância ativa e em rotinas comportamentais consolidadas. Não sendo possível impedir que um colaborador utilize o seu telemóvel, o objetivo passa por transformar a reação imediata num processo crítico de validação prévia. Para estruturar uma defesa resiliente contra o quishing, devem ser consolidadas várias medidas práticas: - **Definir uma diretriz interna explícita:** determinar formalmente nas políticas de segurança que nenhum departamento legítimo da organização (seja TI, Recursos Humanos ou Financeiro) solicitará a leitura de um código QR para repor credenciais ou configurar a autenticação de dois fatores. - **Implementar controlos em dispositivos móveis corporativos:** nos equipamentos distribuídos pela empresa, garantir a configuração de plataformas de gestão de dispositivos (MDM) com inspeção ativa de ligações acionadas a partir da câmara fotográfica. - **Capacitar através da prática e da simulação:** a transmissão teórica revela-se insuficiente perante a engenharia social moderna. Para enraizar hábitos defensivos sólidos, os colaboradores devem vivenciar cenários realistas. Com o [Super Phisher](/pt/catalogo/super-phisher/), pode integrar simulações avançadas de quishing nos seus planos de treino, capacitando as equipas para identificar pistas fraudulentas antes de qualquer leitura de código. - **Disponibilizar um canal rápido de reporte:** facultar a todos os colaboradores um mecanismo simples e acessível para sinalizar imagens suspeitas ou suportes físicos anómalos, promovendo uma cultura de reporte sem receio de falsos alarmes. A cibersegurança atual não passa por bloquear unilateralmente tecnologias úteis do quotidiano, mas por dotar cada profissional da capacidade de discernimento necessária para não se tornar a porta de entrada de um incidente à escala de toda a organização. Pretende avaliar a maturidade das suas defesas perante as novas técnicas de engenharia social? [Contacte a nossa equipa](/pt/marcacao/) para desenharmos uma estratégia de sensibilização alinhada com as exigências operacionais da sua infraestrutura. ### Executive Synthesis of Guide Pillars: Quishing: como o phishing por código QR contorna a segurança da sua empresa | Strategic Dimension | Detailed CISO Recommendation | | --- | --- | | **O isolamento do EDR desaparece** | o telemóvel pessoal não dispõe habitualmente de agentes de telemetria nem de ferramentas empresariais de filtragem de navegação. (A armadilha do canal cruzado: do computador de trabalho para o…) | | **Definir uma diretriz interna explícita** | determinar formalmente nas políticas de segurança que nenhum departamento legítimo da organização (seja TI, Recursos Humanos ou Financeiro)… (Como proteger eficazmente as suas equipas contra o phishing por…) | | **A proteção de rede é neutralizada** | a ligação ocorre via rede móvel 4G ou 5G do operador comercial, ultrapassando os proxies corporativos e as políticas de bloqueio de DNS da empresa. (A armadilha do canal cruzado: do computador de trabalho para o…) | | **Implementar controlos em dispositivos móveis…** | nos equipamentos distribuídos pela empresa, garantir a configuração de plataformas de gestão de dispositivos (MDM) com inspeção ativa de ligações… (Como proteger eficazmente as suas equipas contra o phishing por…) | --- ## Para aprofundar: artigos relacionados e soluções da Brain Security ### Artigos complementares sobre este tema - **[Fraude do CEO 2.0: Clonagem de voz e deepfake em vídeo nas direções financeiras](/pt/ciberseguranca/fraude-ceo-deepfake-voz-direcoes-financeiras/)** (Phishing e Engenharia social) : Saiba como proteger as equipas financeiras contra a fraude do CEO com recurso a deepfake de voz e vishing. Procedimentos, controlos e treino prático. - **[Fadiga de MFA e Push Bombing: Como os atacantes contornam o duplo fator sem roubar códigos](/pt/ciberseguranca/fadiga-mfa-push-bombing-contornar-autenticacao/)** (Phishing e Engenharia social) : Compreenda o mecanismo do ataque por fadiga de MFA (push bombing) e treine as suas equipas para adotar os reflexos certos perante alertas suspeitos. - **[Vishing: Como os cibercriminosos manipulam as suas equipas ao telefone](/pt/ciberseguranca/vishing-como-evitar-ataques-telefone-mfa/)** (Phishing e Engenharia social) : Descubra as táticas de vishing contra o suporte de TI, a manipulação de MFA e como proteger as suas equipas com treinos práticos de cibersegurança. - **[Sociedades de advogados e consultoria: Proteger o sigilo profissional contra ataques direcionados](/pt/ciberseguranca/proteger-sigilo-profissional-ciberataques-advogados-consultoria/)** (Setores e Funções) : Saiba por que as sociedades de advogados e consultoras são alvo de ciberataques e como blindar as suas equipas contra o spear-phishing e a espionagem. ### Descobrir as soluções da Brain Security no site - **Solução associada : [Super Phisher](/pt/catalogo/super-phisher/)** : O simulador de phishing que treina as suas equipas para os ataques reais, do falso e-mail ao código QR armadilhado, num quadro controlado que nunca captura uma palavra-passe. - **[Consultar os casos de uso por necessidade e setor](/pt/casos-de-uso/)** - **[Comparar os nossos formatos de sensibilização ciber e IA](/pt/comparativo/)** - **[Explorar todo o catálogo interativo da Brain Security](/pt/catalogo/)** - **[Falar das suas necessidades com a nossa equipa (demo e implementação)](/pt/marcacao/)** --- - https://startbrain.io/pt/ciberseguranca/quishing-como-phishing-qr-code-contorna-seguranca/ - [Français](https://startbrain.io/fr/cybersecurite/quishing-phishing-qr-code-entreprise/) - [Deutsch](https://startbrain.io/de/cybersecurity/quishing-qr-code-phishing-unternehmenssicherheit-verhindern/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/quishing-qr-code-phishing-corporate-security/) - [English (US)](https://startbrain.io/en-us/cybersecurity/quishing-qr-code-phishing-corporate-defenses/) - [Español](https://startbrain.io/es/cyberseguridad/quishing-phishing-codigo-qr-seguridad-empresa/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/quishing-phishing-qr-code-sicurezza-aziendale/) - [Nederlands](https://startbrain.io/nl/cybersecurity/quishing-qr-code-phishing-bedrijfsbeveiliging-omzeilen/) - [日本語](https://startbrain.io/ja/cybersecurity/quishing-qr-code-phishing-ciso-defense/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/quishing-phishing-kod-qr-bezpieczenstwo-firmy/) - [Svenska](https://startbrain.io/sv/cybersakerhet/quishing-qr-kod-phishing-it-sakerhet/) - [Dansk](https://startbrain.io/da/cybersikkerhed/quishing-qr-kode-phishing-it-sikkerhed/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/quishing-qr-koodi-tietojenkalastelu-tietoturva/) - [Norsk](https://startbrain.io/no/cybersikkerhet/quishing-qr-kode-phishing-sikkerhet-norge/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/quishing-qr-code-phishing-enterprise-defence/) - [llms.txt](https://startbrain.io/llms.txt)