As detecções de phishing que usam códigos QR cresceram 460% no Brasil entre janeiro e fevereiro de 2026, segundo dados de telemetria divulgados pela ESET. O avanço ocorreu em um semestre no qual o phishing respondeu por 35,9% de todas as ameaças digitais identificadas pela empresa no país.
O chamado quishing usa códigos QR para levar a vítima a páginas falsas, formulários de captura de dados ou arquivos maliciosos. O formato dificulta uma das verificações mais simples contra golpes: visualizar o endereço de destino antes de abrir o link.
No primeiro semestre, as categorias QRCode/Phishing e QRCode/URL representaram, juntas, 7,2% das detecções de phishing registradas pela ESET no Brasil. A alta de fevereiro chama atenção porque códigos QR já fazem parte de atividades cotidianas, como pagamentos, cardápios, entregas, eventos e autenticações.
“O QR Code reduz uma etapa importante de avaliação da vítima, porque o endereço não está visível antes da leitura”, explica Jonathan Ramos, pesquisador de segurança da ESET Brasil. Segundo ele, o código deve ser tratado como qualquer outro link: é necessário conferir a origem e o endereço aberto antes de fornecer informações ou realizar pagamentos.
PDFs responderam por 52% das detecções de phishing
Apesar do avanço dos golpes com QR Code, os arquivos PDF apareceram como o principal formato usado nas campanhas detectadas pela ESET. A categoria PDF/Phishing respondeu por 52% do volume de phishing registrado no semestre.
A escolha explora situações comuns. Um PDF fraudulento pode se apresentar como segunda via de boleto, nota fiscal, comprovante de pagamento, cobrança vencida ou contrato para assinatura. No ambiente corporativo, a isca também pode imitar currículos, orçamentos, pedidos de clientes ou documentos compartilhados por colegas.
O arquivo não precisa necessariamente carregar o conteúdo malicioso em si. Ele pode incluir um botão, link ou QR Code que redireciona a vítima para uma página falsa criada para roubar senhas, dados bancários ou códigos de autenticação, ou ainda tentar induzir o download de outro arquivo.
Entre as marcas e plataformas imitadas nas campanhas observadas pela ESET, a DocuSign respondeu por 1,3% das detecções de phishing, seguida por Telegram, com 0,5%, e WeTransfer, com 0,3%. Os números não indicam comprometimento dessas empresas: os criminosos reproduzem sua identidade visual para dar aparência legítima às mensagens.
Como reduzir o risco de cair no golpe
A principal recomendação é verificar a origem antes de agir. No caso de QR Codes, o usuário deve observar o domínio exibido pelo celular e desconfiar de erros de escrita ou redirecionamentos inesperados.
Mensagens que pressionam por pagamento imediato, confirmação de conta ou prevenção de um suposto bloqueio também merecem atenção. Se uma página aberta por QR Code ou PDF pedir senha, dados bancários ou código de autenticação, a orientação é interromper o acesso e procurar o serviço por seu aplicativo ou endereço oficial.
Manter celular e computador atualizados e utilizar mecanismos de proteção contra páginas e arquivos maliciosos acrescenta uma camada adicional de defesa, mas não substitui a verificação do pedido recebido.
