Um pequeno quadrado pixelado. Você já digitalizou centenas deles em cafeterias, medidores de estacionamento, lounges de aeroportos e mesas de restaurantes. Parece instantâneo. Parece seguro. Parece rotineiro. É exatamente nisso que os cibercriminosos estão contando. Os códigos QR se tornaram uma das portas de entrada mais confiáveis e menos examinadas na vida digital cotidiana. Uma nova categoria de ataque conhecida como "quishing" (QR + phishing) agora é uma das ameaças cibernéticas de crescimento mais rápido globalmente, contornando silenciosamente alguns dos sistemas de segurança de e-mail corporativos mais sofisticados do mundo.
O que é um código QR malicioso? A ameaça Quishing explicada
O Quishing funciona incorporando uma URL maliciosa dentro de uma imagem de código QR. Quando uma vítima o digitaliza, a câmera do seu telefone decodifica a URL oculta e o navegador abre automaticamente o destino malicioso: um site falso projetado para roubar credenciais, detalhes de cartão de pagamento ou instalar malware. Ao contrário de um link de phishing em um e-mail onde você pode passar o mouse para visualizar a URL, um código QR não revela nada até que você o digitalize.
A carga maliciosa está trancada dentro de uma imagem, completamente invisível a olho nu e, criticamente, ilegível pela maioria dos filtros de segurança de e-mail. As gateways de segurança de e-mail tradicionais foram projetadas para inspecionar texto, analisar HTML e avaliar URLs incorporadas. Quando uma carga maliciosa é codificada dentro da matriz de pixels de uma imagem, a gateway vê apenas um arquivo JPEG ou PNG; ela não encontra links suspeitos e entrega a mensagem à caixa de entrada.
A escala da ameaça: pelos números
Entre agosto e novembro de 2025, as detecções de e-mails de phishing com código QR malicioso aumentaram cinco vezes, de 46.969 incidentes em agosto para 249.723 em novembro. Mais de 4,2 milhões de ameaças de phishing com código QR foram identificadas na primeira metade de 2025. A Microsoft sinalizou mais de 15.000 e-mails de phishing diários com código QR direcionados apenas ao setor de educação. 73% dos usuários digitalizam códigos QR sem verificar o destino.
Como o ataque funciona passo a passo
Fase 1 – Preparação: O atacante gera um código QR malicioso apontando para um site de captura de credenciais ou download de malware, constrói um site falso replicando uma página de login real e frequentemente roteia a URL através de serviços de redirecionamento confiáveis para mascarar o destino.
Fase 2 – Entrega: O código QR atinge o alvo através de e-mail (incorporado no corpo ou em um anexo PDF), adesivos físicos em medidores de estacionamento ou mesas de restaurantes, correio postal ou aplicativos de mensagens.
Fase 3 – A Digitalização: Como o ataque força a vítima a usar seu telefone pessoal, todo o perímetro de segurança corporativo é contornado. A digitalização move-se de um desktop corporativo gerenciado protegido por detecção de endpoint, proxy web e filtragem DNS para um smartphone pessoal sem nenhum desses controles.
Fase 4 – Roubo: A vítima é solicitada a inserir credenciais do Microsoft 365, detalhes bancários ou números de cartão de crédito, ou baixa malware disfarçado de aplicativo legítimo.
Fase 5 – Pós-Comprometimento: Os atacantes fazem login no e-mail corporativo, lançam ataques BEC, vendem tokens de sessão em mercados da dark web ou implantam ransomware em toda a rede.
Cenários de ataque no mundo real
Cenário 1: O golpe do código QR do medidor de estacionamento. Golpistas imprimem adesivos de código QR com aparência profissional e colam diretamente sobre os códigos legítimos nos medidores. Um motorista digitaliza o que parece ser o código oficial de estacionamento e cai em um site de pagamento falso, inserindo nome, detalhes do veículo e número completo do cartão de pagamento.
Cenário 2: Troca de código QR em shopping / restaurante / varejo. Atacantes visitam ambientes de varejo e sobrepõem códigos QR legítimos com os seus próprios. Clientes em restaurantes digitalizam o que parece ser o código QR do menu e, em vez disso, caem em uma página de resgate de cupom falso que solicita verificação de cartão de pagamento.
Cenário 3: E-mail Quishing contornando gateways de segurança. Este é o vetor de ataque corporativo dominante. Atacantes incorporam um código QR no corpo de um e-mail de phishing ou dentro de um anexo PDF/DOCX. O assunto do e-mail impersona RH, TI, folha de pagamento ou processos de conformidade.
Red Flags: Como identificar um código QR malicioso
Em locais físicos: Procure por adesivos sobrepostos, posicionamento desalinhado, marca inconsistente, código novo em sinalização desgastada, pré-visualização de URL suspeita e solicitações de dados desnecessários.
Em e-mails: Código QR em vez de link, domínio de remetente externo, linguagem de urgência, código QR dentro de um anexo PDF, tema não solicitado de RH/TI/folha de pagamento e saudação genérica.
Como se proteger: A lista de verificação de defesa completa
Para usuários individuais: Visualize a URL antes de tocar. Nunca digitalize códigos QR de e-mails, textos ou mensagens WhatsApp desconhecidos. Inspecione fisicamente códigos QR em público. Use o aplicativo oficial para estacionamento, comida e pagamentos. Para usuários de UPI, você nunca precisa digitalizar um código QR para receber dinheiro. Habilite MFA resistente a phishing (FIDO2/chaves de hardware). Mantenha o sistema operacional do telefone e aplicativos atualizados. Instale um aplicativo de segurança móvel com proteção de digitalização QR.
Para organizações e equipes de TI: Implemente segurança de e-mail com IA e OCR para decodificar códigos QR em e-mails e anexos PDF. Forçar MFA resistente a phishing. Aplicar políticas de acesso condicional para bloquear dispositivos não gerenciados. Usar MDM para restringir digitalização QR a aplicativos aprovados. Realizar treinamento de segurança específico para Quishing. Endurecer autenticação de e-mail com DMARC/DKIM/SPF. Implementar arquitetura Zero Trust para validar sessões continuamente.
Conclusão e recomendações para CISOs
Os códigos QR são inerentemente opacos; você não pode ver para onde levam até depois de digitalizar. Os atacantes armam essa confiança cega. O Quishing contorna gateways de segurança de e-mail tradicionais porque a carga maliciosa se esconde dentro de uma imagem, não texto ou link clicável. A defesa requer camadas: MFA resistente a phishing, segurança de e-mail com reconhecimento de imagem, defesa de ameaças móveis, treinamento de conscientização de segurança e auditorias de código QR físico. O hábito individual mais eficaz é sempre visualizar a URL antes de tocar e nunca inserir credenciais ou dados de pagamento em um site alcançado por digitalizar um código QR de uma fonte inesperada.