QR Code é seguro?
O que um QR Code pode e não pode fazer com o seu celular, como funciona o golpe do QR Code e os poucos hábitos que deixam a leitura tão segura quanto clicar em um link que você consegue ver.
Resposta curtaUm QR Code é tão seguro quanto o link que está dentro dele. A leitura, sozinha, não instala nada nem assume o controle do celular, mas o código pode levar você a uma página de phishing ou a um download malicioso, e você não vê o endereço até ele ser decodificado — então leia a prévia do link antes de tocar.
Um QR Code é um link que você não consegue ler
A maioria dos QR Codes contém um endereço web e nada mais. O celular decodifica o padrão, mostra o endereço e só o abre no navegador quando você toca. Nesse sentido, um código não é mais perigoso que um link em um e-mail. Veja como funciona o QR Code para saber o que há dentro do padrão.
A diferença é que um link impresso dá para ler, e um código não. Você bate o olho em um link e percebe um domínio escrito errado; você bate o olho em um QR Code e não percebe nada. Esse é todo o risco, e é por isso que os golpistas usam QR Codes.
| Sozinho, um código… | Mas pode levar você a… |
|---|---|
| Não consegue instalar um app | Uma página que pede para você instalar um |
| Não consegue ler seus arquivos, contatos ou fotos | Um formulário que pede para você digitar dados pessoais |
| Não consegue fazer uma cobrança | Uma página de pagamento falsa que imita uma verdadeira |
| Não consegue saber suas senhas | Uma cópia de uma página de login que as captura |
| Não consegue mudar as configurações do celular | Instruções ou um arquivo que fazem você mudá-las |
Alguns códigos contêm outras coisas — dados de Wi-Fi, um cartão de contato, uma mensagem de texto pronta. O celular ainda pergunta antes de conectar, salvar ou enviar, então leia esse aviso com o mesmo cuidado que a prévia de um link.
Como funcionam os golpes com QR Code
O phishing por QR Code, às vezes chamado de quishing, é o phishing de sempre com o link escondido em um código. Os padrões que se repetem são estes.
- Adesivos sobre códigos verdadeiros. Um código falso é colado por cima do verdadeiro em um parquímetro, em uma placa de pagamento de estacionamento, em um carregador de carro elétrico ou em uma mesa de restaurante. Ele leva a uma página de pagamento que copia a da empresa real.
- Códigos em e-mails. Uma mensagem “do suporte de TI”, de um banco ou de um serviço de compartilhamento de documentos pede para você ler um código para entrar ou revalidar uma conta. Um código em uma imagem é mais difícil de ser analisado pelos filtros de e-mail do que um link escrito, e leva você para o celular, onde a barra de endereço é pequena.
- Avisos falsos de entrega e de multa. Um papel deixado na porta ou embaixo do limpador de para-brisa diz que há uma encomenda esperando ou uma taxa a pagar, e oferece um código para pagar ou reagendar.
- Códigos que empurram um download. A página diz que você precisa de um app para ver um cardápio, um documento ou um tempo de estacionamento, e aponta para um arquivo fora da loja de apps oficial.
O ponto em comum é a urgência somada a um pedido de dinheiro, senha ou instalação. Um código legítimo de cardápio ou de informação raramente precisa de alguma dessas coisas.
Como verificar um código antes de tocar
- Leia o código e pare na prévia do link. Não toque ainda.
- Leia o domínio — a parte antes da primeira barra simples. Ele pertence à instituição da placa ou da carta que você está vendo?
- Procure quase-acertos: palavras a mais, letras trocadas, terminações estranhas ou um encurtador de links que esconde o destino real.
- Olhe para o próprio código. É um adesivo colado sobre uma placa impressa? As bordas estão descolando, ou ele está um pouco fora do lugar?
- Se a página pedir senha, número de cartão ou a instalação de um app, feche-a e vá você mesmo ao site ou ao app oficial da instituição.
Se você já digitou os dados do cartão em uma página da qual agora desconfia, fale com o seu banco imediatamente. Se digitou uma senha, troque-a no site verdadeiro e em qualquer outro lugar onde a tenha usado. Como ler QR Code mostra onde a prévia aparece no iPhone e no Android.
Se você coloca QR Codes na frente dos clientes
Uma empresa não consegue impedir que alguém cole um código falso na sua placa, mas consegue deixar o falso evidente e o verdadeiro confiável.
- Imprima o domínio ao lado do código. “Leia o código ou acesse exemplo.com.br/pagar” permite ao cliente comparar a prévia com algo que você imprimiu.
- Imprima o código na própria placa, em vez de aplicá-lo como adesivo, para que um adesivo colado por cima fique visivelmente diferente. Confira com frequência as placas em lugares públicos.
- Coloque os códigos onde a equipe consegue vê-los, ou atrás de um vidro, em vez de em postes sem ninguém por perto.
- Aponte para o seu próprio domínio. Um código que abre um domínio de redirecionamento de terceiros parece um golpe para um cliente cuidadoso. Um código estático aponta direto para o seu endereço — veja QR Code estático vs dinâmico.
- Nunca peça senhas ou dados de pagamento em uma página que o cliente acessa por um código sem um domínio conhecido e visível.
Os códigos criados neste site contêm exatamente o que você digita, sem redirecionamento no meio, e nada do que você digita é enviado a um servidor. Para links, o gerador só aceita endereços web http:// e https://.
Crie um código que aponta direto para o seu próprio domínio:Gerar um QR Code
Perguntas relacionadas
A leitura, sozinha, não instala nada nem dá acesso ao seu celular. O risco é a página que o código abre, que pode pedir uma senha, um pagamento ou um download. Leia a prévia do link e não toque se algo parecer errado.
Quishing é o phishing que usa um QR Code em vez de um link visível. O código leva a uma página falsa de login ou de pagamento e, como o endereço fica escondido até a leitura, é mais fácil não perceber que o site não é verdadeiro.
Confira o endereço na prévia da leitura antes de abrir e verifique se o domínio pertence à instituição que você espera. Desconfie de adesivos colados sobre placas e de qualquer página que peça senhas, dados de cartão ou a instalação de um app.
Pode ser, mas parquímetros e placas de pagamento são alvos comuns de adesivos falsos. Confira se o código está impresso na própria placa e se a prévia mostra o domínio real da empresa, ou use o app oficial dela.
Com cuidado, principalmente se o e-mail pede para você entrar na conta, verificar um cadastro ou pagar algo. Vá direto ao site da instituição em vez de ler um código que você recebeu.