QRishing: o scan que entrega seus dados

Quem aponta a câmera para um quadradinho preto e branco quase nunca lê o endereço que está por trás. Esse hábito, hoje comum no cardápio digital, no Pix e no e-mail de trabalho, é o ponto em que o QRishing entra. A McAfee descreve o quishing como uma forma de phishing que usa códigos QR no lugar de links clicáveis para levar a pessoa a um site falso ou a pedir dados. O termo junta QR e phishing: em vez de “clique aqui”, o pedido é “escaneie aqui”.

A Trend Micro, no texto em português sobre o tema, define o mesmo ataque como o uso de QR malicioso para enganar a pessoa a visitar páginas falsas ou baixar programa indesejado no aparelho. O objetivo, segundo a empresa, é roubar senha, dado financeiro ou infectar o dispositivo.

O detalhe que muda o jogo é simples. Um link escrito ainda pode ser lido antes do clique. O código QR não mostra o destino até o scan. Essa ausência de URL visível tira um dos sinais que muita gente ainda usa para desconfiar.

O que é QRishing e por que o QR esconde o golpe

O Estadão registrou o nome Quishing no Brasil ao tratar de QR alterado para transferência errada ou para páginas que coletam senha e dado pessoal. A reportagem liga o crescimento do golpe à praticidade de pagar e acessar serviços com a câmera do celular, do banco ao cardápio.

Na prática, o QRishing não inventa um crime novo. Ele troca o isco. O phishing clássico manda um link. O QRishing manda uma imagem. Para o filtro de e-mail que procura texto suspeito, um quadrado pode parecer só figura. Para quem está na rua, o adesivo no balcão parece o pagamento do estabelecimento. A Barracuda descreve o QR phishing como evolução do phishing em que o código malicioso vai no corpo do e-mail ou no anexo e, depois do scan, leva a um site que copia empresa conhecida.

Depois da leitura, as fontes descrevem destinos repetidos: pedido de pagamento ou fatura falsa, portal falso de login, download de arquivo nocivo e página que pede dado de cartão ou de conta. A McAfee lista ainda armadilha de assinatura e portal falso de atendimento. A Trend Micro acrescenta que, em parte dos casos, o scan pode abrir caminho para programa que rouba dado, observa o aparelho ou trava o sistema até um pedido de resgate.

De fábrica japonesa ao Pix no Brasil

O código QR não nasceu para golpe. Em 1994, a Denso Wave, no Japão, apresentou o Quick Response Code para acelerar o rastreio de peças na indústria automotiva. O engenheiro Masahiro Hara liderou o projeto. A empresa conta que o código foi pensado para guardar muito mais informação do que o código de barras linear e para ser lido depressa, de qualquer ângulo. Um QR pode registrar milhares de algarismos; o código de barras antigo guardava pouco mais de vinte caracteres.

A Denso Wave patenteou a tecnologia e declarou que não cobraria royalty pelo uso. O padrão entrou em normas técnicas e, em 2000, foi publicado como ISO/IEC 18004. Essa decisão aberta ajudou o quadrado a sair da fábrica e chegar ao celular, ao boarding pass, ao menu e ao pagamento. No Brasil, o Pix transformou o scan em gesto cotidiano: conta de restaurante, feira, estacionamento, boleto e cobrança no WhatsApp. O mesmo desenho que acelerou a linha de montagem hoje acelera a transferência. O QRishing explora exatamente essa confiança acumulada em três décadas.

O Estadão ouviu Fernando de Falchi, da Check Point Software Brasil. Ele atribui a expansão do golpe à demanda por QR no dia a dia. Segundo a reportagem, a empresa apontou aumento recente de 500% nesse modelo e, de agosto de 2023 a março de 2024, mais de 30 mil ataques de Quishing no mundo. Nas três semanas anteriores à publicação, foram mais de 2 mil tentativas em mais de 1.100 clientes.

Levantamentos posteriores, citados por veículos de segurança, apontam o quishing como fatia crescente do phishing. Compilações baseadas em dados da Keepnet Labs descrevem salto de 587% em incidentes em 2023 e QR presente em cerca de 12% dos ataques de phishing em 2025, ante 0,8% em 2021. A Microsoft, no retrato do primeiro trimestre de 2026, registrou o QR code phishing subindo de 7,6 milhões de detecções em janeiro para 18,7 milhões em março, alta de 146% no trimestre. PDF foi a via principal desses envios.

Nenhum desses números transforma o QR em objeto “do mal”. O risco, como a Trend Micro e textos de orientação ao consumidor repetem, não está no quadrado em si. Está no destino que ele carrega e no fato de esse destino ficar escondido até o momento do scan.

Como o ataque acontece na prática

O caminho descrito pelas fontes é curto. O criminoso cria um código QR com um endereço sob seu controle. Esse código vai para um adesivo, um cartaz, um e-mail, um PDF ou uma mensagem. A vítima aponta a câmera. O celular abre uma página que copia banco, loja, Microsoft 365, portal de VPN ou tela de pagamento. Se a pessoa digita senha, dado de cartão ou confirma um Pix, a informação ou o dinheiro segue para o outro lado.

No comércio físico, o método mais citado é a colagem. Golpistas colocam um adesivo com QR falso sobre o código verdadeiro do parquímetro, do cardápio ou do balcão. Quem paga acredita estar quitando a conta do local. O aplicativo, porém, mostra outro recebedor. Reportagens brasileiras sobre o golpe do QR Code no Pix descrevem exatamente essa troca em restaurante, praia, festa e loja de alta rotatividade. O Money Times e o Canaltech destacam a checagem do nome e do documento do destinatário antes de confirmar.

No ambiente digital, o isco muda de forma. A OBlock descreve o quishing corporativo: o QR entra no e-mail da empresa, com tom de urgência (“conta será bloqueada”, “documento pendente”, “ação necessária”). O funcionário escaneia com o celular pessoal, sai da rede protegida do computador e cai numa página que copia Microsoft 365 ou Google Workspace.

O FBI, em alerta de janeiro de 2026, descreveu campanha do grupo norte-coreano Kimsuky que usa QR em e-mails para forçar essa troca de aparelho. Depois do scan, sites coletam dado do dispositivo e apresentam tela de login móvel de serviços como Microsoft 365, Okta ou VPN. A agência também já alertou para encomenda não pedida com QR para “confirmar entrega” ou “ativar” o pacote.

A Barracuda documentou ainda truques para o código passar despercebido no e-mail: QR fatiado em duas imagens que, juntas, formam o código completo; e QR malicioso colocado dentro de um QR que parece legítimo. O TecMundo repercutiu essas duas técnicas.

A pressa fecha o ciclo. Fontes de orientação ao consumidor repetem o mesmo padrão: multa para pagar agora, encomenda parada, senha expirada, oferta que some em minutos. A pressa reduz a chance de ler o endereço que a câmera mostra depois do scan.

Onde o QRishing aparece no dia a dia

O QRishing não fica só na tela. Ele ocupa o espaço em que o QR já virou rotina. A McAfee organiza os golpes mais comuns em grupos previsíveis: pagamento de estacionamento, menu de restaurante, aviso de entrega, alerta falso de segurança da conta e oferta ou reembolso que vira cobrança recorrente.

No Reino Unido, a Action Fraud contabilizou 784 relatos de quishing entre abril de 2024 e abril de 2025, com cerca de 3,5 milhões de libras perdidas — mais de dois casos por dia, na média divulgada pela imprensa. Policiais locais pediram atenção a parquímetro, menu, ponto de recarga de carro elétrico, cartaz e aviso de encomenda.

No Brasil, o recorte mais visível é o Pix. Matérias do Canaltech, do Money Times e de veículos de educação financeira descrevem o adesivo sobre o QR do estabelecimento, o print enviado por WhatsApp e o cartaz improvisado. Duas turistas argentinas, segundo o Money Times, foram alvo de golpe na praia do Arpoador, no Rio. O padrão se repete: o scan parece o pagamento do local; o destinatário no aplicativo não é o comércio.

No comércio físico e no Pix

Em um restaurante, o fluxo documentado é este. O cliente aponta a câmera para o cardápio ou para o QR de cobrança. Se houver adesivo por cima, bordas soltas, brilho diferente ou código torto, o destino já pode ser outro. No aplicativo do banco, o nome que aparece pode ser de pessoa física, e não o CNPJ da casa. Textos sobre o golpe do QR Code colado pedem que se compare o recebedor com o nome do local antes de confirmar.

O mesmo vale para estacionamento. A McAfee e alertas internacionais descrevem adesivo sobre o totem de pagamento. A página pede dado de cartão ou conduz a um Pix que não é o da empresa de estacionamento. Sinal citado: o site pede todos os dados e não remete a um serviço conhecido.

Há um ponto que sites de checagem no Brasil já precisaram esclarecer. Escanear um QR falso, sozinho, não “esvazia o cartão em dois minutos” sem nenhuma outra ação. O Boatos.org lembrou que o prejuízo costuma depender de etapas seguintes: site falso, digitação de dado, Pix confirmado ou instalação de aplicativo. O QRishing abre a porta. A perda acontece na porta seguinte.

No e-mail, no PDF e no celular da empresa

Fora da rua, o QRishing ganha outra cara. O código vem como imagem no corpo da mensagem ou dentro de um PDF que parece fatura, contrato ou aviso de RH. A Barracuda aponta que boa parte dos documentos Microsoft 365 e dos PDFs maliciosos analisados pela empresa passou a carregar QR que leva a página de phishing. A Microsoft, no trimestre de 2026 citado acima, viu o PDF como rota principal e também um salto de QR colado direto no corpo do e-mail.

Por que o celular importa tanto? Porque o scan tira a pessoa do computador da empresa, onde há filtro de e-mail e antivírus corporativo, e joga a ação para o aparelho pessoal. O FBI descreve isso como parte do desenho do ataque: o QR força a troca de dispositivo. No celular, a tela falsa de login cabe inteira, parece o aplicativo conhecido e pede a senha longe da equipe de segurança.

Uma pesquisa da NordVPN, repercutida pela CNBC em 2025, apontou que 73% dos americanos escaneiam QR sem verificar o destino. O mesmo levantamento estimou que mais de 26 milhões de pessoas já teriam sido levadas a site malicioso dessa forma. O número é dos Estados Unidos, mas descreve o hábito que o golpe precisa: scan primeiro, pergunta depois.

A tabela abaixo reúne a diferença que as fontes usam para separar o phishing clássico do QRishing.

Essa comparação aparece, com pequenas variações de wording, em textos de orientação ao consumidor sobre quishing.

Os cenários mais citados nas fontes cabem em uma lista curta:

• Adesivo sobre QR de estacionamento, cardápio, balcão ou totem de pagamento
• QR em e-mail ou PDF que imita banco, Microsoft, Adobe, RH ou transportadora
• Aviso de encomenda, multa ou “pacote não solicitado” com pedido de scan
• QR de Pix enviado por mensagem, live ou perfil que promete desconto ou investimento
• Página que, depois da leitura, pede senha, cartão, instalação de aplicativo ou permissão demais no celular

A McAfee, a Trend Micro e reportagens brasileiras descrevem esse conjunto com os mesmos exemplos de rua e de caixa de entrada.

Como isso altera a vida de quem só quer pagar o almoço? O gesto que economiza trinta segundos vira o único momento em que o destino do dinheiro ou da senha é decidido. No Pix, o aplicativo ainda mostra o nome e o documento do recebedor. Nas páginas de login, a barra de endereço ainda mostra o site. O QRishing conta com a pessoa não olhar nenhum dos dois.

Falchi, no Estadão, lembra um efeito que vem depois do primeiro dado. Nome, CPF e e-mail parecem inofensivos no formulário. Com esse trio, diz o engenheiro, dá para abrir conta em banco digital e envolver a vítima em outros problemas. O scan inicial é só a isca.

As próprias fontes de segurança descrevem o que elas observam como cuidado básico, sem transformar o QR em objeto proibido. Tratar o código como se fosse um link. Ler a URL que a câmera mostra antes de abrir. Conferir se o QR não é adesivo colado. No Pix, conferir nome, CPF ou CNPJ e valor. Evitar dado de senha em página que surgiu só depois de um scan inesperado. Em e-mail de trabalho, checar se a empresa costuma mandar QR para “desbloquear conta”. O FBI pede que a origem do código seja confirmada por outro canal antes de senha ou download.

Nada disso anula o uso legítimo do QR. O código continua no hospital, no aeroporto, na nota fiscal e no Pix do comércio honesto. O QRishing vive da pressa e da confiança no quadrado que a indústria japonesa soltou no mundo sem cobrar licença. Trinta anos depois, o mesmo atalho que leu peça na fábrica lê o destino da conta no celular.

Perguntas Frequentes (FAQ)

1. O que é QRishing?

É o nome dado ao phishing feito com código QR. O criminoso esconde o endereço perigoso no quadrado. Quem escaneia vai a um site falso, a um pagamento errado ou a um arquivo indesejado. As grafias quishing e QRishing aparecem nas fontes para o mesmo tipo de golpe.

2. QRishing e phishing são a mesma coisa?

Não. O phishing é o golpe maior, em que a pessoa é levada a um site falso ou a entregar dado. O QRishing é uma forma desse golpe em que o isco é o QR, não o link escrito.

3. O QR Code é perigoso por natureza?

Não. O QR foi criado em 1994 para rastrear peças e depois se tornou padrão aberto. O risco está no destino gravado no código, não no desenho preto e branco.

4. Como o golpe do Pix com QR falso costuma aparecer no Brasil?

Pelas fontes jornalísticas, o caso mais descrito é o adesivo colado sobre o QR do estabelecimento ou o código enviado por mensagem. O dinheiro vai para outra chave. O aplicativo mostra o recebedor; a conferência desse nome é o ponto que as reportagens repetem.

5. Escanear um QR falso esvazia a conta sozinho?

Sites de checagem no Brasil afirmam que o scan, sozinho, não toma o limite do cartão sem outra ação. O prejuízo entra quando a pessoa confirma Pix, digita dado ou instala aplicativo.

6. Por que o e-mail com QR passa por alguns filtros?

Porque o endereço malicioso está dentro de uma imagem. Filtros feitos para ler link em texto enxergam menos esse tipo de isco. Por isso o código vai no corpo da mensagem ou no PDF.

7. O que o FBI já publicou sobre o tema?

A agência alertou para QR em e-mails de campanhas atribuídas ao grupo Kimsuky e para encomendas não pedidas com QR de “confirmação”. O pedido central é não tratar todo QR não solicitado como seguro.

8. Quais sinais as empresas de segurança descrevem no código físico?

Adesivo por cima de outro código, recorte solto, impressão diferente do cartaz, código torto e cartaz sem identificação clara do estabelecimento.

9. Tenho uma boa oportunidade com um QR de promoção. O que as fontes dizem?

Oferta com urgência, recompensa grande e pedido de dado ou pagamento imediato é um dos padrões listados pela McAfee e pela Trend Micro. A página que nasce só do scan pede o mesmo cuidado de um link desconhecido.

10. Como isso me afeta se eu só uso QR no restaurante?

É exatamente nesse gesto cotidiano que o adesivo falso foi documentado. O efeito prático é pagar a pessoa errada ou abrir uma página que pede dado. A conferência do recebedor no Pix e da URL na tela é o que as fontes apontam como trava desse passo.

Referências

• McAfee. O que é Quishing? Como funcionam os golpes de código QR e como você pode evitá-los. https://www.mcafee.com/blogs/pt-br/dicas-e-truques-de-ciberseguranca/o-que-e-quishing-como-golpes-com-codigo-qr-funcionam-e-como-evita-los/
• Trend Micro. O que é Quishing? https://www.trendmicro.com/pt_br/what-is/phishing/quishing.html
• Estadão. Você sabe o que é Quishing? Conheça o golpe que usa QR Code para atacar empresas. https://www.estadao.com.br/link/cultura-digital/voce-sabe-o-que-e-quishing-conheca-o-golpe-que-usa-qr-code-para-atacar-empresas/
• OBlock. Quishing: o que é o phishing por QR Code e como funciona. https://www.oblock.com.br/quishing-phishing-qr-code/
• Denso Wave. QR Code development story. https://www.denso-wave.com/en/technology/vol1.html
• Denso Wave. History of QR Code. https://www.qrcode.com/en/history/
• IEEE Spectrum. How a Board Game and Skyscrapers Inspired the Development of the QR Code. https://spectrum.ieee.org/how-a-board-game-and-skyscrapers-inspired-the-development-of-the-qr-code
• TecMundo. Novo golpe usa QR Code para enganar sistemas de segurança. https://www.tecmundo.com.br/seguranca/406501-novo-golpe-usa-qr-code-para-enganar-sistemas-de-seguranca.htm
• Barracuda Networks. What is QR phishing (quishing)? https://www.barracuda.com/support/glossary/qr-phishing-quishing
• Tom’s Guide. FBI issues urgent warning over ‘quishing’ scam. https://www.tomsguide.com/computing/online-security/dont-scan-that-qr-code-fbi-warns-hackers-adding-malicious-qr-links-in-emails
• Cybernews. FBI warns: Don’t scan QR codes in fake packages. https://cybernews.com/cybercrime/beware-packages-containing-malicious-qr-codes-fbi-warns/
• Security Brief. Microsoft warns of surge in QR code phishing attacks. https://securitybrief.com.au/story/microsoft-warns-of-surge-in-qr-code-phishing-attacks
• The Independent. Beware the QR code: How a new scam is costing consumers £10,000 per day. https://www.independent.co.uk/money/qr-code-scam-warning-danger-parking-b2817782.html
• Money Times. Golpe do QR Code no Pix. https://www.moneytimes.com.br/pix-qr-code-fraude-golpe-rsgp/
• Canaltech. Pix e QR Code: os golpes “invisíveis” que ainda fazem vítimas no Brasil. https://canaltech.com.br/seguranca/pix-e-qr-code-os-golpes-invisiveis-que-ainda-fazem-vitimas-no-brasil/
• Let’s Money. Golpe do QR Code colado no Pix cresce no Brasil. https://www.letsmoney.com.br/noticias/golpe-qr-code-colado-pix-brasil/
• Boatos.org. Adesivo invisível no restaurante esvazia o limite do seu cartão… https://www.boatos.org/brasil/adesivo-invisivel-no-restaurante-esvazia-o-limite-do-seu-cartao-em-2-minutos-com-qr-code-falso.html
• Keepnet / Is This QR Safe (compilação estatística). Quishing Statistics 2026. https://www.isthisqrsafe.com/learn/quishing-statistics-2026
• IBM. What is Phishing? (seção Quishing). https://www.ibm.com/think/topics/phishing
• HHS (EUA). QR Codes and Phishing as a Threat to the HPH. https://www.hhs.gov/sites/default/files/qr-codes-and-phishing-as-a-threat-to-the-hph-white-paper.pdf