De acordo com dados partilhados pela ESET, as fraudes que usam códigos QR foram a sétima ameaça por email mais detetada em Portugal entre dezembro de 2025 e maio de 2026, representando 4,8% do total de deteções durante o período em análise.
Os especialistas da ESET avançam que, a nível global, cerca de 11% de todos os emails de phishing detectados usavam códigos QR. A ESET registou uma média de 100 mil deteções mensais deste tipo de ameaça, com o volume mais elevado a ocorrer em abril.
A técnica, conhecida como quishing, usa códigos QR para esconder ligações que direcionam as vítimas para páginas fraudulentas com o objetivo de roubar credenciais, dados financeiros ou outro tipo de informação sensível.
Citado em comunicado, Ricardo Neves, Responsável de Comunicação da ESET Portugal, explica que “o quishing é particularmente eficaz porque reduz a visibilidade do ataque”.
Tendo em conta que as ligações maliciosas não aparecem diretamente no corpo do email, a “interação passa frequentemente para um telemóvel, onde o utilizador pode não beneficiar dos mesmos controlos de segurança”, explica o responsável, acrescentando que a combinação “aumenta significativamente a probabilidade de sucesso da fraude”.
Segundo os especialistas da ESET, os ataques de quishing começam tipicamente com um email que se faz passar por uma comunicação legítima de uma empresa, de um departamento de recursos humanos ou de uma plataforma empresarial conhecida.
A mensagem inclui um código QR e pede ao destinatário que o leia com o smartphone para consultar um documento, confirmar uma informação ou concluir uma tarefa alegadamente urgente.
Entre os exemplos analisados pelos investigadores da empresa incluem-se falsas comunicações sobre alterações salariais, benefícios laborais e documentos que necessitam de aprovação ou assinatura, com algumas das campanhas a imitarem serviços conhecidos, como o DocuSign.
Ao ser lido, o código apresenta uma ligação que conduz as vítimas para uma página fraudulenta que pode reproduzir a aparência de um serviço legítimo e pedir credenciais profissionais, dados bancários ou outra informação confidencial. Mas a utilização fraudulenta de códigos QR não se limita ao email.
Como apontam os especialistas no seu mais recente relatório, existem casos em que os atacantes colocam códigos falsos em locais onde as pessoas esperam encontrá-los, como parquímetros, bicicletas partilhadas e outros serviços de pagamento, ou então em falsas multas de estacionamento e notificações fraudulentas de portagens.
Para reduzir o risco de cair num destes esquemas, a ESET recomenda que trate qualquer código QR recebido por email ou mensagem com o mesmo cuidado aplicado a uma ligação desconhecida.
Antes de ler o código é importante que confirme, por exemplo, se a comunicação que recebeu era mesmo esperada, verificando a identidade do remetente e desconfiando de pedidos que criem urgência ou prometam acesso imediato a informação sobre salários, benefícios, pagamentos ou documentos.
No caso das organizações, a recomendação dos especialistas passa também pela adoção de soluções capazes de identificar ligações maliciosas escondidas em códigos QR, bem como pela proteção dos equipamentos como smartphones e pela sensibilização dos colaboradores para esta ameaça.
(Teksapo)