Os códigos QR estão a ser usados para fraudes. Entre dezembro de 2025 e maio de 2026 os QR fraudulentos foram em Portugal a sétima ameaça por email, indicou a empresa de cibersegurança ESET. Tendo, no período em análise, sido 4,8% do total de deteções de ameaças por email.
A ESET indicou que a nível global, cerca de 11% de todos os emails de phishing que detetou, utilizavam códigos QR. Uma média de aproximadamente 100 mil deteções mensais deste tipo de ameaça, tendo o número mais elevado ocorrido em abril de 2026.
A técnica atingiu o nível mais alto observado desde que a ESET começou a acompanhá-la separadamente, em setembro de 2025.
Conhecida por quishing, esta forma de fraude utiliza códigos QR para esconder ligações que encaminham as vítimas para páginas fraudulentas. O objetivo é normalmente roubar credenciais, dados financeiros ou outra informação sensível.
“O quishing é particularmente eficaz porque reduz a visibilidade do ataque. A ligação maliciosa não aparece diretamente no corpo do email e a interação passa frequentemente para um telemóvel, onde o utilizador pode não beneficiar dos mesmos controlos de segurança. Esta combinação aumenta significativamente a probabilidade de sucesso da fraude”, afirmou, citado em comunicado, Ricardo Neves, Responsável de Comunicação da ESET Portugal.
Falsas comunicações sobre salários e benefícios
Como descreve a ESET, um ataque típico começa com um email que se faz passar por uma comunicação legítima de uma empresa, de um departamento de recursos humanos ou de uma plataforma empresarial conhecida.
Mas, em vez de apresentar uma ligação visível, a mensagem inclui um código QR e pede ao destinatário que o leia usando o smartphone para consultar um documento, confirmar uma informação ou concluir uma tarefa alegadamente urgente.
A ESET referiu que entre os exemplos analisados encontram-se falsas comunicações sobre alterações salariais, benefícios laborais e documentos que necessitam de aprovação ou assinatura. Algumas campanhas imitam também serviços conhecidos, como a DocuSign.
Depois da leitura, o código apresenta uma ligação que conduz o utilizador a uma página fraudulenta. Esta pode reproduzir a aparência de um serviço legítimo e solicitar credenciais profissionais, dados bancários ou outra informação confidencial.
O ataque passa do computador para o smartphone
Como descreve a ESET, uma das principais vantagens da técnica para os atacantes é a mudança de dispositivo. A mensagem pode chegar a um computador protegido por várias camadas de segurança, mas a leitura do código transfere a interação para um smartphone pessoal ou não gerido pela organização. Esse dispositivo pode não dispor dos mesmos controlos de segurança.
Ao mesmo tempo, como a ligação está codificada numa imagem, o utilizador não consegue avaliar imediatamente o endereço e alguns sistemas tradicionais de segurança de email podem ter maior dificuldade em analisá-lo.
Fraude chega aos espaços públicos
A utilização fraudulenta de códigos QR não se limita ao email. O relatório da ESET mostra também casos em que os atacantes colocam códigos falsos em locais onde as pessoas esperam encontrá-los, incluindo parquímetros, bicicletas partilhadas e outros serviços de pagamento.
Mas, foram também observadas falsas multas de estacionamento e notificações fraudulentas de portagens.
Nestes casos, a leitura do código pode encaminhar a vítima para uma página criada para recolher dados de cartões bancários ou outras informações financeiras.
Como reduzir o risco?
Para minimizar os riscos a ESET indicou que recomenda que os utilizadores tratem qualquer código QR recebido por email ou mensagem com o mesmo cuidado aplicado a uma ligação desconhecida. Antes da leitura, é importante confirmar se a comunicação era esperada, verificar a identidade do remetente e desconfiar de pedidos que criem urgência ou prometam acesso imediato a informações sobre salários, benefícios, pagamentos ou documentos.
Depois de ler o código, o utilizador é encaminhado para uma página fraudulenta, que pode reproduzir a aparência de um serviço legítimo e solicitar credenciais profissionais, dados bancários ou outra informação confidencial.
Por outro lado as organizações também devem adotar soluções capazes de identificar ligações maliciosas escondidas em códigos QR, bem como proteger os dispositivos móveis e sensibilizar os colaboradores para esta forma de fraude.
