Segurança do QR Code: Como Evitar Golpes de Quishing em 2026

Atualizado em março de 2026 · 7 min de leitura

Em 2024, ataques de phishing por QR code — conhecidos como "quishing" — aumentaram mais de 500% segundo empresas de cibersegurança que monitoram a tendência. No final de 2025, o quishing se tornou um dos vetores de ataque de crescimento mais rápido no cenário de phishing. À medida que os QR codes se tornam onipresentes em restaurantes, parquímetros, cartões de visita e networking profissional, entender os riscos não é mais opcional — é essencial.

O Que É Quishing?

Quishing é phishing via QR code. Em vez de incorporar um link malicioso em um e-mail ou mensagem de texto, os atacantes codificam o link dentro de um QR code. Quando você escaneia o código com seu celular, ele abre a URL maliciosa no seu navegador — frequentemente uma página de login falsa convincente projetada para roubar suas credenciais.

A razão pela qual o quishing funciona tão bem é que os QR codes são opacos. Diferente de um hiperlink onde você pode passar o mouse para visualizar a URL, um QR code não revela nada sobre seu destino até que você o escaneie. Essa opacidade é o que torna os QR codes tanto úteis quanto perigosos.

Como Funcionam os Ataques de Quishing

1. Sobreposição física: Os atacantes colocam um adesivo com um QR code malicioso sobre um legítimo — em um parquímetro, mesa de restaurante ou cartaz público.
2. Incorporação em e-mail: Um QR code é incluído em um e-mail de phishing, contornando filtros de segurança baseados em texto que escaneiam URLs mas não conseguem ler QR codes.
3. Cartões de visita falsos: Um cartão de visita falsificado com um QR code que leva a uma página de coleta de credenciais em vez de um perfil do LinkedIn.
4. Exploração em eventos: Em conferências e feiras, os atacantes distribuem panfletos ou crachás com QR codes que direcionam para downloads de malware.

A Dimensão do Problema

Os números são preocupantes. De acordo com um relatório de 2025 da SlashNext, os ataques de quishing aumentaram de 0,8% de todos os ataques de phishing em 2023 para mais de 4,8% em 2025 — um aumento de 6×. A Abnormal Security relatou que 89% dos ataques de quishing visam roubo de credenciais, com as páginas de login do Microsoft 365 e Google Workspace sendo as mais falsificadas.

O FBI emitiu um alerta público em 2024 sobre fraudes com QR code em parquímetros e postos de gasolina nos Estados Unidos. No Reino Unido, a Action Fraud relatou um aumento de 300% nas reclamações de golpes com QR code entre 2023 e 2025.

Como Identificar um QR Code Falso

Embora os QR codes não possam ser "lidos" visualmente, existem vários sinais de alerta:

• Sobreposições de adesivos: Se um QR code parece ser um adesivo colocado sobre outra superfície — especialmente em um parquímetro, caixa eletrônico ou cardápio de restaurante — não o escaneie. QR codes legítimos são tipicamente impressos diretamente na superfície.
• Contexto inesperado: Um QR code em um e-mail, mensagem de texto ou panfleto não solicitado deve ser tratado com suspeita. Empresas legítimas raramente pedem que você escaneie um QR code para "verificar sua conta" ou "resgatar um prêmio."
• Incompatibilidade de URL: Após escanear, verifique a URL antes de tocar. Se o QR code estava em um cartão de visita do LinkedIn mas a URL não contém linkedin.com, não prossiga.
• URLs encurtadas: Tenha cuidado com QR codes que resolvem para bit.ly, tinyurl ou outros encurtadores de URL. Eles mascaram o destino real. QR codes profissionais legítimos direcionam diretamente ao alvo.
• Qualidade de impressão ruim: QR codes borrados, descentralizados ou com tamanho estranho em materiais que de outra forma parecem profissionais podem indicar adulteração.

Como Se Proteger

1. Visualize Antes de Clicar

A maioria das câmeras de smartphones modernos mostra uma prévia da URL quando você aponta para um QR code. Leia a URL cuidadosamente antes de tocar. Procure erros de ortografia (como linkedln.com em vez de linkedin.com), domínios incomuns ou caminhos suspeitos.

2. Use um Scanner de QR com Recursos de Segurança

Alguns aplicativos de scanner de QR verificam URLs em bancos de dados conhecidos de phishing antes de abri-las. Aplicativos como Kaspersky QR Scanner e Norton Snap (ou os aplicativos de câmera nativos no iOS 17+ e Android 14+) oferecem prévias de URL e verificações básicas de segurança.

3. Nunca Insira Credenciais Após Escanear

Se um QR code levar você a uma página de login, pare. Abra o serviço diretamente pelo seu navegador ou aplicativo. QR codes legítimos do LinkedIn levam você a uma página de perfil pública — eles nunca pedem que você faça login.

4. Verifique QR Codes Físicos

Se você está em um estabelecimento ou local, pergunte aos funcionários se o QR code é legítimo. Em eventos, escaneie apenas QR codes de materiais oficiais — não de panfletos ou folhetos aleatórios.

5. Mantenha Seu Celular Atualizado

iOS e Android corrigem regularmente vulnerabilidades de segurança que poderiam ser exploradas por sites maliciosos. Manter o sistema operacional e o navegador do seu celular atualizados é uma defesa básica mas fundamental.

Por Que os QR Codes do LinkedIn São Mais Seguros

Nem todos os QR codes carregam o mesmo risco. QR codes do LinkedIn gerados por ferramentas como nosso gerador gratuito possuem diversas vantagens de segurança integradas:

• URL direta: O QR code aponta diretamente para linkedin.com/in/seu-perfil — sem redirecionamentos, sem encurtadores de URL, sem pixels de rastreamento.
• Destino reconhecível: Qualquer pessoa que escaneie o código vê uma URL linkedin.com na prévia, que é fácil de verificar.
• Sem coleta de dados: QR codes estáticos (como os nossos) não passam por nenhum servidor de terceiros. A URL é codificada diretamente no padrão do QR.
• Geração no lado do cliente: Sua URL do LinkedIn nunca sai do seu navegador durante a geração — não há servidor para comprometer.
• Sinal visual de confiança: QR codes com o logo do LinkedIn incorporado (como os nossos) fornecem uma indicação visual imediata sobre o destino.

Checklist de Segurança de QR Code

Conclusão

QR codes não são inerentemente perigosos — mas são inerentemente opacos. A mesma conveniência que os torna úteis para networking também os torna atraentes para atacantes. A defesa é simples: visualize antes de clicar, verifique a URL e nunca insira credenciais em uma página acessada via escaneamento de QR. Ao criar seus próprios QR codes, use ferramentas que geram URLs diretas e transparentes sem servidores intermediários — como nosso gerador de QR code do LinkedIn.