QR Codes estão levando funcionários para páginas falsas sem que eles percebam
Entenda como criminosos utilizam QR Codes em e-mails, documentos, mensagens e ambientes físicos para esconder destinos maliciosos, roubar credenciais e levar funcionários para páginas falsas fora dos controles tradicionais de segurança.
Funcionários aprenderam a desconfiar de links estranhos.
Passar o mouse sobre um endereço, observar o domínio e evitar links encurtados já fazem parte de muitos treinamentos de segurança.
O QR Code muda essa dinâmica.
Em vez de apresentar o endereço diretamente, ele transforma o destino em uma imagem.
O funcionário recebe um e-mail dizendo que precisa confirmar sua conta, visualizar um documento, renovar o MFA, acessar uma folha de pagamento ou verificar uma cobrança.
No lugar do botão tradicional, aparece um QR Code.
Ao escaneá-lo com o celular, a pessoa sai do computador corporativo e abre uma página que pode imitar Microsoft 365, Google, bancos, sistemas internos ou outros serviços conhecidos.
Essa técnica é chamada de QR Code phishing ou quishing. A Microsoft descreve campanhas nas quais QR Codes inseridos em imagens, PDFs ou documentos direcionam usuários para páginas destinadas à captura de credenciais.
O QR Code não torna o ataque tecnicamente sofisticado. Ele torna o destino menos visível para a vítima.
Existe ainda outro problema.
O código frequentemente é escaneado pelo celular pessoal do funcionário.
Assim, uma mensagem recebida no ambiente corporativo pode terminar sendo aberta em um dispositivo que não possui os mesmos filtros, monitoramento e proteções utilizados no computador da empresa. O NCSC destaca justamente esse deslocamento para dispositivos pessoais como uma das vantagens exploradas pelos criminosos.
Neste artigo, você vai entender:
- ✓O que é QR Code phishing ou quishing
- ✓Por que QR Codes dificultam a identificação de links falsos
- ✓Como o ataque pode sair do computador corporativo e chegar ao celular pessoal
- ✓Quais mensagens costumam ser utilizadas como isca
- ✓Como reduzir o risco sem proibir o uso legítimo de QR Codes
Os riscos escondidos por trás de um QR Code
Destino invisível
Diferentemente de um link escrito, o endereço contido no QR Code não fica imediatamente visível para o usuário.
Páginas falsas de login
O código pode levar a uma cópia de uma página da Microsoft, Google, banco ou sistema corporativo para capturar credenciais.
Saída do ambiente corporativo
O funcionário pode receber o ataque no computador e escanear o código utilizando um celular pessoal.
Menos controles no dispositivo
Equipamentos pessoais podem não possuir as mesmas soluções de segurança, filtros e monitoramento existentes nos dispositivos gerenciados pela empresa.
QR Codes dentro de PDFs
O código pode aparecer dentro de faturas, documentos, comunicados ou outros anexos aparentemente legítimos.
Falsa renovação de MFA
Ataques podem afirmar que a autenticação multifator precisa ser reativada, atualizada ou validada.
Urgência artificial
Mensagens podem ameaçar bloqueio da conta, vencimento de senha, cobrança ou perda de acesso para pressionar o funcionário.
Domínios parecidos
Depois de escanear o código, a vítima pode chegar a um endereço visualmente semelhante ao domínio legítimo.
QR Codes físicos adulterados
Etiquetas falsas podem ser colocadas sobre códigos legítimos em cartazes, equipamentos, estacionamentos, recepções ou outros locais.
Redirecionamentos
Um QR Code pode apontar inicialmente para um endereço e depois encaminhar a vítima para outro destino.
Dificuldade de análise visual
A própria imagem do QR Code não oferece ao funcionário elementos suficientes para determinar sua legitimidade.
Confiança no formato
Como QR Codes são utilizados legitimamente para pagamentos, menus, Wi-Fi e autenticação, usuários podem escaneá-los quase automaticamente.
O QR Code não precisa parecer falso. Ele apenas precisa fazer a vítima acreditar que não existe motivo para verificar o endereço antes de continuar.
Como utilizar QR Codes sem transformar cada câmera em um caminho para phishing
O QR Code deve ser tratado como qualquer outro link externo. A diferença é que o destino precisa ser revelado antes que o usuário consiga avaliá-lo. A proteção combina treinamento, verificação de domínio, segurança de e-mail, dispositivos protegidos e procedimentos claros para situações suspeitas.
Tratar QR Codes como links
Funcionários devem entender que escanear um código equivale a abrir um endereço recebido por mensagem.
Verificar o endereço antes de abrir
O usuário deve observar o domínio apresentado pelo celular antes de continuar para o site.
Desconfiar de solicitações inesperadas
QR Codes enviados para redefinir senha, MFA, pagamentos ou dados pessoais devem receber atenção especial.
Evitar autenticação iniciada por QR Code desconhecido
Quando possível, acesse o serviço diretamente pelo aplicativo oficial, favorito ou endereço conhecido.
Não utilizar o link fornecido para confirmar a mensagem
Se houver dúvida, entre no sistema de maneira independente e verifique se existe realmente alguma pendência.
Treinar funcionários sobre quishing
Simulações e treinamentos devem incluir QR Codes, e não apenas links tradicionais.
Criar um canal de denúncia
O usuário deve saber para onde encaminhar e-mails, documentos ou códigos suspeitos.
Utilizar proteção avançada de e-mail
Soluções capazes de analisar imagens, anexos e destinos associados a QR Codes adicionam uma camada de defesa.
Proteger dispositivos móveis corporativos
Celulares utilizados para atividades profissionais devem possuir políticas e controles compatíveis com os riscos da organização.
Incentivar o uso de dispositivos gerenciados
Operações corporativas sensíveis devem permanecer, sempre que possível, em equipamentos administrados pela empresa.
Utilizar MFA resistente a phishing
Passkeys, FIDO2 e outros mecanismos resistentes a phishing reduzem o impacto de páginas falsas destinadas a capturar credenciais.
Monitorar logins suspeitos
Um acesso realizado após uma campanha de phishing pode apresentar novo dispositivo, localização incomum ou outros sinais de risco.
Investigar imediatamente credenciais digitadas
Se alguém inserir sua senha depois de escanear um código suspeito, o caso deve ser tratado como possível comprometimento.
Revogar sessões comprometidas
Apenas trocar a senha pode não ser suficiente em todos os cenários; sessões e tokens ativos também podem precisar ser revogados.
Proteger QR Codes físicos
Empresas que utilizam códigos em ambientes públicos devem verificar periodicamente se etiquetas ou adesivos foram colocados sobre os originais.
Padronizar comunicações corporativas
Defina claramente quando a empresa utiliza QR Codes e quais processos nunca serão solicitados dessa maneira.
Avise sua equipe sobre uma regra simples: se um QR Code recebido por e-mail, mensagem ou documento pedir login, senha, MFA, pagamento ou informação pessoal, não continue automaticamente. Verifique primeiro o endereço e confirme a solicitação por outro caminho.
O que muda quando QR Codes passam a ser tratados como links
Antes
- ✓Funcionários escaneiam códigos sem verificar o destino
- ✓O celular pessoal é utilizado automaticamente
- ✓QR Codes parecem mais confiáveis que links
- ✓Páginas falsas recebem credenciais corporativas
- ✓Mensagens urgentes provocam ações imediatas
- ✓Códigos suspeitos raramente são reportados
Depois
- ✓O domínio é verificado antes da navegação
- ✓Solicitações inesperadas são confirmadas por outro canal
- ✓Funcionários reconhecem ataques de quishing
- ✓Dispositivos corporativos recebem controles adicionais
- ✓Tentativas suspeitas podem ser denunciadas rapidamente
- ✓Credenciais ficam mais protegidas contra páginas falsas
Um QR Code não confirma a legitimidade de uma mensagem. Ele apenas transforma um endereço em uma imagem.
Perguntas frequentes
O que é quishing?
É uma forma de phishing que utiliza QR Codes para direcionar a vítima a páginas ou recursos controlados pelo atacante. A Microsoft também utiliza o termo para ataques em que o código aparece em imagens ou documentos.
QR Codes são perigosos?
Não por si mesmos. Eles apenas armazenam informações, frequentemente endereços. O risco está no destino e no contexto em que o código é apresentado.
Por que criminosos utilizam QR Codes em vez de links?
Porque o destino fica menos evidente para o usuário e o fluxo pode ser transferido para um celular, além de apresentar desafios adicionais para alguns mecanismos tradicionais de análise de e-mail.
Um QR Code pode roubar minha senha sozinho?
Normalmente, o código direciona a vítima para outro recurso. O roubo pode acontecer quando a pessoa fornece credenciais ou outras informações na página falsa.
Como saber para onde um QR Code leva?
Muitos celulares apresentam uma prévia do endereço antes de abrir a página. Observe cuidadosamente o domínio antes de continuar.
Se aparecer Microsoft ou Google na página, posso confiar?
Não apenas pela aparência. Páginas falsas podem copiar logotipos, cores e formulários de serviços conhecidos. O domínio precisa ser verificado.
Recebi um QR Code para renovar meu MFA. O que faço?
Em vez de utilizá-lo imediatamente, acesse diretamente o portal ou aplicativo oficial da organização e verifique se existe realmente alguma solicitação.
QR Codes dentro de PDFs também podem ser phishing?
Sim. A Microsoft identifica imagens, PDFs e documentos do Word entre os formatos utilizados em campanhas desse tipo.
Um adesivo com QR Code também pode ser adulterado?
Sim. Golpes envolvendo QR Codes também podem ocorrer em ambientes físicos. O NCSC alerta para fraudes em espaços públicos, e a FTC recomenda cautela com códigos inesperados.
O que fazer se eu já digitei minha senha?
Informe imediatamente a equipe responsável, altere as credenciais conforme orientação, investigue os acessos posteriores e considere a revogação de sessões e tokens. A resposta a phishing deve avaliar também atividades posteriores ao comprometimento.
MFA protege contra quishing?
Ajuda, mas não elimina todos os cenários. Métodos resistentes a phishing oferecem proteção maior do que fatores que também podem ser capturados ou aprovados durante uma fraude.
Por onde a empresa deve começar?
Pelos treinamentos de phishing, proteção de e-mail, autenticação corporativa e processos que envolvam pagamentos, redefinição de senhas e acesso a documentos.
Conclusão
O QR Code conquistou espaço justamente porque elimina etapas.
Apontar.
Escanear.
Abrir.
Essa praticidade também pode ser utilizada contra o usuário.
O endereço desaparece atrás de uma imagem e, muitas vezes, a pessoa só percebe para onde foi direcionada depois que a página já está aberta.
Em campanhas corporativas, isso cria uma combinação especialmente perigosa.
O ataque pode chegar pelo e-mail protegido da empresa e continuar no celular pessoal do funcionário.
A Microsoft registrou milhões de ataques de QR Code phishing em 2026 e observou uso expressivo de PDFs e documentos como veículos para essas campanhas.
Isso não significa que empresas precisam abandonar QR Codes.
Significa que eles devem receber o mesmo nível de desconfiança aplicado a qualquer link recebido de maneira inesperada.
O funcionário precisa aprender que escanear não é confirmar.
É apenas abrir um caminho cujo destino ainda precisa ser verificado.
Antes de confiar no QR Code, descubra para onde ele realmente quer levar você.
Se um QR Code pedisse a senha corporativa de um funcionário hoje, ele saberia identificar o risco?
Inclua QR Codes nos treinamentos de phishing, ensine sua equipe a verificar domínios antes de continuar e crie um processo rápido para denunciar códigos e mensagens suspeitas.
