Golpistas têm utilizado a técnica de “quishing” para roubar dados e realizar fraudes. Saiba como identificar e se proteger contra QR Codes falsos e o que fazer caso seja vítima
Com a popularização dos QR Codes, seja para pagar algo via Pix ou até acessar uma informação, também cresceram o número de golpes que envolvem o roubo de dados sensíveis a partir da leitura desses códigos.
O novo golpe ficou conhecido como quishing, combinação entre QR Code e phishing, nome usado para definir o roubo de dados de maneira virtual, e pode direcionar a vítima para uma página falsa, um pagamento via Pix adulterado ou um site criado para ter acesso a senhas e dados pessoais.
Segundo informações divulgadas pela PSafe, pesquisadores da Unit 42 registraram uma média superior a 11 mil detecções de QR Codes maliciosos por dia em sua telemetria. O problema é que o código, visualmente, nem sempre apresenta sinais claros de adulteração. Por isso, a atenção deve continuar mesmo depois de apontar a câmera do celular.
Como funciona o golpe do QR Code falso?
O código falso pode aparecer em um e-mail, SMS, aplicativo de mensagens ou cobrança. Também pode ser colocado fisicamente sobre um QR Code verdadeiro, como em mesas de restaurantes, cartazes, estacionamentos e locais de pagamento.
Ao escanear, a pessoa pode ser encaminhada para uma página que imita o site de um banco, loja, empresa de entrega ou outro serviço conhecido. Em alguns casos, o objetivo é fazer com que a vítima informe senhas, dados pessoais ou informações bancárias. A técnica também pode ser usada para alterar o destinatário de um pagamento via Pix.
Como identificar um QR Code falso?
Não existe uma característica visual única que permita afirmar que determinado QR Code é falso. A FTC (Federal Trade Comission Consumer Advice) alerta sobre QR Codes usados em golpes de phishing e recomenda verificar o endereço apresentado pelo celular antes de abrir a página, principalmente diante de mensagens com urgência.
Antes de abrir o endereço indicado, confira a URL exibida no celular. Domínios com letras trocadas, palavras estranhas ou endereços que não correspondem ao serviço esperado podem indicar uma tentativa de fraude. O blog da Psafe disponibiliza um manual de como saber se um link é seguro antes de clicar.
Além disso, é possível realizar uma segunda análise acessando o Verificador de Links do dfndr security, o qual permite verificar o endereço revelado pelo QR Code em busca de sinais associados a páginas perigosas antes que você decida acessá-lo.
Outro sinal de alerta é encontrar um adesivo colocado sobre outro QR Code. A adulteração pode ser feita para substituir o código legítimo pelo utilizado pelos criminosos.
O Procon-ES já alertou para golpes em que criminosos colocam QR Codes falsos sobre códigos legítimos em pontos de pagamento. Antes de confirmar uma transferência, confira cuidadosamente o nome do destinatário, instituição financeira, CPF ou CNPJ, quando disponível, e o valor da operação.
O Banco Central também orienta usuários a adotarem cuidados de segurança nas operações realizadas pelo Pix. Em caso de dúvida, a recomendação é interromper a transação e utilizar os canais oficiais do banco.
É importante desconfiar também de códigos associados a cobranças inesperadas, promessas de prêmios, descontos muito vantajosos ou mensagens que criam sensação de urgência.
Nem todo site “https” é seguro
Outro erro comum é acreditar que a presença do cadeado ou do protocolo HTTPS garante que determinada página seja legítima. O HTTPS indica que a conexão entre o navegador e o site é criptografada. Isso, porém, não significa que o endereço pertença à empresa que afirma representar.
Por isso, depois de escanear um QR Code, é importante observar o domínio completo antes de continuar. Criminosos podem utilizar endereços parecidos com os de empresas conhecidas, alterando pequenas partes do nome para tentar enganar o usuário.
Cuidado com QR Codes em nome de empresas e órgãos públicos
Logotipos, nomes conhecidos e elementos visuais oficiais também podem ser utilizados em golpes. Por isso, quando uma cobrança ou mensagem chega em nome de um banco, empresa ou órgão público, o mais seguro é acessar diretamente o aplicativo ou o site oficial, em vez de utilizar o QR Code recebido.
A Receita Federal, por exemplo, já alertou para golpes envolvendo falsas cobranças relacionadas a encomendas e orienta os cidadãos a consultar informações por seus canais oficiais.
O que fazer se você escaneou um QR Code falso?
Se você escaneou o código, mas ainda não abriu o endereço apresentado, basta interromper a ação e não prosseguir. Caso tenha acessado uma página suspeita, não informe senhas, dados pessoais ou bancários. Também evite baixar arquivos ou instalar aplicativos solicitados pelo site.
Se uma senha foi digitada, altere-a imediatamente pelo site ou aplicativo oficial do serviço e, quando disponível, ative a autenticação em duas etapas.
Já nos casos em que houve transferência via Pix ou compartilhamento de informações bancárias, entre em contato imediatamente com sua instituição financeira pelos canais oficiais e guarde mensagens, comprovantes e outras evidências do ocorrido.
