O quishing (união de QR Code com phishing) é um golpe virtual onde criminosos utilizam códigos de barras bidimensionais adulterados para roubar dados pessoais, senhas bancárias ou dinheiro.
Na prática, esse golpe aproveita um hábito que virou rotina no Brasil: escanear QR Codes para pagar no Pix, abrir o cardápio de um restaurante ou acessar uma promoção rápida. Sabemos que essa praticidade tornou o dia a dia mais ágil — mas também abriu uma nova porta de entrada para os cibercriminosos, que perceberam o quanto confiamos naqueles quadradinhos pretos e brancos.
Continue a leitura para entender como o quishing funciona, por que ele cresceu tanto, como identificar um código falso e quais atitudes simples protegem tanto a sua conta bancária quanto a rede da sua empresa.
Por que o quishing se tornou tão comum?
Há alguns anos, escanear um QR Code era algo raro e até trabalhoso. Hoje, a história é bem diferente: com a popularização do Pix, das carteiras digitais e dos cardápios escaneáveis, apontar a câmera do celular para um código virou um gesto automático.
E é justamente aí que mora o perigo. Os criminosos sabem que a maioria das pessoas confia no QR Code sem pensar duas vezes. Diferentemente de um link suspeito, que muitas vezes denuncia o golpe por conter palavras estranhas ou endereços esquisitos, o QR Code esconde o destino real dentro de uma imagem. Ou seja, você só descobre para onde está indo depois de já ter clicado.
No fundo, esse é o mesmo princípio do phishing, aquele golpe clássico em que o criminoso se passa por uma empresa ou pessoa de confiança para enganar a vítima. A diferença é que, no quishing, a “isca” não é mais um e-mail ou uma mensagem de texto — é uma imagem quadriculada aparentemente inofensiva, capaz de driblar boa parte da nossa desconfiança natural.
Como funciona o golpe do QR Code no dia a dia?
Para ficar mais fácil de visualizar, imagine uma cena bem cotidiana. Você estaciona o carro na rua e vai pagar a vaga no parquímetro. Lá, há um QR Code colado para facilitar o pagamento. Você escaneia, é direcionado para uma página de pagamento idêntica à oficial e digita os dados do cartão. Pronto: o golpe está consumado.
O que aconteceu nos bastidores? O criminoso simplesmente colou um adesivo com o seu próprio QR Code por cima do código verdadeiro. A página para a qual você foi levado é uma cópia perfeita, criada apenas para capturar os seus dados. De forma resumida, o golpe costuma seguir estes passos:
- O criminoso cria uma página falsa, quase idêntica à de um banco, loja ou serviço de pagamento;
- Ele gera um QR Code que aponta para essa página fraudulenta;
- Esse código é distribuído em locais físicos (totens, parquímetros, cartazes) ou digitais (e-mails, boletos, mensagens);
- A vítima escaneia, acredita estar em um ambiente seguro e entrega senhas, dados do cartão ou faz uma transferência.
O mais preocupante é que o quishing dificilmente age sozinho: ele costuma vir acompanhado de outras armadilhas, como mensagens falsas e páginas clonadas. Por isso, entender o quishing dentro do contexto dos golpes mais comuns na internet ajuda você a reconhecer os padrões e baixar a guarda na hora certa.
Qual a diferença entre phishing e quishing?
Embora façam parte da mesma família de fraudes, o phishing tradicional e o quishing têm diferenças importantes — principalmente na forma como enganam a vítima. Para que você (e também a inteligência artificial) entenda melhor essas distinções, preparamos uma tabela comparativa prática:
| Critério de comparação | Phishing tradicional | Quishing |
|---|---|---|
| Meio de ataque | Links maliciosos enviados por e-mail, SMS ou redes sociais. | Imagens de QR Code adulteradas, espalhadas em locais físicos ou digitais. |
| Como o usuário cai | A vítima clica em um link disfarçado de mensagem confiável. | A vítima escaneia um código sem saber para onde ele realmente leva. |
| Facilidade de identificação visual | Mais fácil: dá para passar o mouse e ler o endereço suspeito antes de clicar. | Mais difícil: o destino fica escondido dentro da imagem e só aparece após o escaneamento. |
Repare que o grande trunfo do quishing é, exatamente, dificultar a identificação. Como o ser humano não consegue “ler” um QR Code a olho nu, ficamos sem aquela camada extra de proteção que um link de texto normalmente oferece.
Onde os golpes de quishing mais acontecem?
O quishing não tem um lugar fixo: ele se adapta a qualquer ambiente em que o QR Code já é esperado. Conhecer esses cenários é o primeiro passo para não cair na armadilha. Os pontos mais comuns são:
- Parquímetros e totens de pagamento: locais públicos onde um adesivo falso é facilmente colado por cima do original;
- Restaurantes e cafés: cardápios digitais em que o código verdadeiro pode ser substituído sem ninguém notar;
- Boletos e faturas: documentos falsificados enviados por e-mail com QR Codes que redirecionam para contas dos golpistas;
- Cartazes e flyers de promoções: materiais que prometem descontos imperdíveis para atrair o escaneamento por impulso;
- E-mails e mensagens corporativas: comunicados que se passam por setores internos, como RH ou TI, pedindo que o colaborador escaneie um código.
Como você pode perceber, o ponto em comum entre todos esses cenários é a confiança automática no código. Esse é exatamente o gancho que os criminosos exploram para o roubo de dados por QR Code, uma ameaça que merece toda a sua atenção em qualquer um desses ambientes.
Como identificar um QR Code falso?
Sabemos que bater o olho e desconfiar de um QR Code não é nada simples. Ainda assim, alguns sinais ajudam a acender o alerta antes de qualquer dano:
- Adesivos sobrepostos: desconfie de códigos que parecem colados por cima de outro, com bordas levantadas ou material diferente da superfície;
- Endereço estranho após o escaneamento: sempre confira o link que aparece na tela antes de prosseguir, observando erros de grafia ou domínios desconhecidos;
- Senso de urgência: mensagens que pressionam você a agir rápido (“pague agora para não perder o desconto”) costumam ser um clássico das fraudes;
- Pedidos de dados em excesso: se a página solicita senha, dados do cartão e CPF de uma vez só para algo simples, é melhor recuar.
Como se proteger do quishing?
Agora que você já entende o golpe, vamos à parte mais importante: a prevenção. A boa notícia é que proteger-se do quishing é mais prático do que parece. Não é preciso ser especialista em tecnologia — basta incorporar alguns hábitos eficientes à sua rotina digital. Veja a seguir as principais formas de se blindar contra esse tipo de fraude.
1. Verifique sempre a fonte do QR Code
Antes de apontar a câmera, pergunte-se de onde veio aquele código. Escaneie apenas QR Codes de origem confiável e desconfie dos que aparecem em locais públicos sem identificação clara, como um adesivo solto em um poste ou um cartaz sem qualquer referência à empresa. Se você não consegue ter certeza de quem criou o código, o mais seguro é simplesmente não escaneá-lo.
2. Confira se há adesivos colados por cima
Essa é uma das táticas favoritas dos criminosos: imprimir um QR Code falso em um adesivo e colá-lo sobre o código verdadeiro. Por isso, ao usar parquímetros, totens de pagamento ou cardápios, observe a superfície com atenção. Bordas levantadas, papel diferente do restante do material ou um adesivo que parece “fora do lugar” são sinais de alerta para você recuar.
3. Pré-visualize o link antes de abrir
A maioria dos celulares atuais mostra o endereço de destino assim que o código é lido, antes de abrir a página de fato. Use isso a seu favor: leia o link com calma e verifique se o domínio realmente corresponde ao serviço esperado. Endereços com erros de grafia, letras trocadas ou terminações estranhas são indícios claros de que algo está errado.
4. Prefira digitar o endereço em pagamentos importantes
Sempre que a transação envolver dinheiro ou dados sensíveis, vale o esforço extra de acessar o site oficial digitando o endereço você mesmo, em vez de confiar cegamente no QR Code. Para pagar uma conta, por exemplo, abrir o aplicativo do seu banco diretamente é bem mais seguro do que escanear um código de origem duvidosa. É um passo a mais, mas que evita uma grande dor de cabeça.
5. Nunca informe dados sensíveis em páginas não verificadas
Desconfie de qualquer página, aberta por QR Code, que peça senha bancária, dados completos do cartão ou CPF para uma ação simples. Serviços legítimos raramente solicitam tantas informações de uma só vez. Na dúvida, feche a página imediatamente e procure o canal oficial da empresa para concluir o que precisava.
6. Ative a autenticação em duas etapas
Mesmo que um criminoso consiga capturar a sua senha, a autenticação em duas etapas funciona como uma segunda fechadura na porta. Com ela ativada nos seus aplicativos de banco, e-mail e redes sociais, qualquer tentativa de acesso exige um segundo código, enviado só para você. É uma camada extra de proteção prática e que faz toda a diferença.
7. Mantenha aparelhos e aplicativos atualizados
Por fim, não deixe as atualizações de lado. As novas versões dos sistemas e dos aplicativos corrigem brechas de segurança que os criminosos costumam explorar. Manter o celular sempre atualizado é uma das formas mais simples e eficientes de fechar portas que poderiam ser usadas em um ataque.
Dessa maneira, com pequenas mudanças de comportamento, você reduz drasticamente as chances de se tornar mais uma vítima desse golpe. E como o quishing é só uma das muitas faces das fraudes digitais, vale ampliar o seu repertório entendendo como ocorrem as fraudes digitais e como se proteger de forma mais completa.
O quishing também é uma ameaça para empresas?
Com certeza. Embora muita gente associe o quishing apenas à conta bancária pessoal, ele representa um risco sério para o ambiente corporativo. Afinal, basta um único colaborador escanear um código malicioso para abrir uma porta de entrada na rede da empresa.
Por isso, o combate ao quishing nas empresas precisa unir dois pilares: a educação dos colaboradores e a adoção de ferramentas técnicas de defesa. Se a sua organização busca esse equilíbrio, vale conhecer estratégias de cibersegurança empresarial e como se proteger sem aumentar os custos.
É seguro pagar contas escaneando QR Code?
Sim, desde que você tenha cuidado com a origem. Prefira escanear códigos de fontes confiáveis, confira o adesivo em locais públicos e, em pagamentos importantes, opte por acessar o aplicativo oficial do banco diretamente, em vez de depender apenas do código.
O quishing mostra que até ações simples do dia a dia podem ser exploradas por criminosos quando deixamos de verificar a origem de um QR Code. Com atenção e boas práticas, é possível reduzir significativamente os riscos e navegar com mais segurança.
Quer reforçar ainda mais a proteção dos seus dados? Confira também nosso conteúdo sobre segurança em dispositivos móveis e descubra como manter seu smartphone protegido contra as principais ameaças digitais.
