Escanear um QR Code virou um gesto automático para milhões de brasileiros — justamente por isso, ele está se tornando um dos principais recursos explorados por criminosos em campanhas de phishing.
Segundo o ESET Threat Report H1 2026, aproximadamente 11% dos e-mails de phishing detectados pela empresa já utilizam QR Codes. O volume corresponde a cerca de 100 mil detecções mensais, com o maior registro observado em abril, indicando que essa modalidade de ataque ganhou espaço nas campanhas de fraude digital.
A estratégia, conhecida como quishing (junção de QR Code e phishing), substitui os links tradicionais por códigos que ocultam o endereço de destino até serem escaneados. Como boa parte dessas interações ocorre pelo smartphone, o usuário costuma seguir rapidamente para a página aberta, muitas vezes sem conferir se o domínio realmente pertence ao serviço esperado.
No Brasil, esse cenário ganha relevância porque o QR Code já faz parte da rotina. O recurso é amplamente utilizado para pagamentos via Pix, acesso a cardápios digitais, confirmação de presença em eventos e diversas outras atividades cotidianas. Esse hábito reduz a desconfiança diante de códigos aparentemente legítimos, facilitando a ação dos golpistas.
“O QR Code transmite uma sensação de legitimidade porque faz parte da nossa rotina. As pessoas já se acostumaram a apontar o celular e seguir adiante sem pensar duas vezes. Os criminosos entendem esse comportamento e passaram a explorar justamente essa confiança. O golpe continua sendo o phishing de sempre, mas com uma embalagem muito mais convincente”, afirma Jonathan Ramos, pesquisador de segurança da ESET no Brasil.
Um dado citado pela empresa reforça essa popularização: segundo pesquisa da CNDL e do SPC Brasil, 86% dos consumidores brasileiros já realizaram pagamentos utilizando QR Code, principalmente por meio do Pix. Quanto mais comum se torna o uso dessa tecnologia, maior tende a ser a efetividade de golpes que exploram a familiaridade do usuário com esse tipo de interação.
Como reduzir os riscos
A ESET recomenda tratar QR Codes com o mesmo nível de cautela dedicado a links enviados por desconhecidos.
Entre as orientações estão:
- desconfiar de QR Codes recebidos por e-mail, SMS ou aplicativos de mensagens sem solicitação prévia;
- verificar o endereço do site aberto após o escaneamento antes de inserir qualquer dado;
- evitar utilizar QR Codes colados sobre placas, totens, máquinas ou cartazes públicos, pois eles podem ter sido adulterados;
- utilizar soluções de segurança capazes de identificar páginas e links maliciosos antes que informações pessoais ou financeiras sejam comprometidas.
Segundo Jonathan Ramos, a mudança está menos na técnica utilizada pelos criminosos e mais na adaptação aos hábitos dos usuários.
“Os golpes evoluem conforme os hábitos das pessoas mudam. Hoje, o QR Code faz parte da rotina de milhões de brasileiros, seja para pagar uma compra, acessar um cardápio ou entrar em um evento. A melhor forma de se proteger é manter o mesmo nível de atenção que teríamos ao clicar em um link desconhecido: a tecnologia é segura, mas a confiança excessiva pode ser explorada pelos criminosos.”
Embora o QR Code seja apenas um meio de acesso, a facilidade de uso e a confiança adquirida pelos consumidores tornam esse formato um alvo cada vez mais atraente para campanhas de engenharia social.
