O golpe do QR code falso e como proteger seus links no mundo real

No mês passado fui almoçar em um restaurante que adotou cardápio digital. Na mesa havia um suporte acrílico com um QR code impresso. Quando olhei de perto, vi uma etiqueta adesiva colada por cima do papel original. Puxei a ponta com a unha e o código legítimo da casa apareceu embaixo. Se eu tivesse apontado a câmera direto, cairia em uma página clonada de pagamento.

Esse golpe se chama quishing, mistura de QR code com phishing. Ele se espalhou rápido porque quebra o hábito de checagem de quem navega. Em um e-mail estranho, a gente passa o mouse por cima do link para ver a URL antes de clicar. Diante de um adesivo colado em uma mesa ou no balcão de uma loja, a câmera abre a página antes que qualquer pessoa consiga ler o endereço real.

Onde o quishing aparece no dia a dia#

O ataque físico não depende de invasão ou código avançado. O golpista cria uma página clonada, gera um QR code qualquer na internet, imprime uma cartela de adesivos em uma gráfica rápida e cola por cima de suportes legítimos.

Esses são os cenários mais comuns onde já vi ou acompanhei esse truque na prática:

1. Mesas de bares e lanchonetes: o adesivo falso substitui o cardápio original por uma tela que cobra adiantamento de pagamento para liberar o pedido na cozinha.
2. Totens de estacionamento e parquímetros de rua: criminosos colam adesivos com dizeres como "pague aqui sem fila" bem ao lado do visor oficial, levando a um gateway fraudulento.
3. Panfletos colados em postes e pontos de ônibus: ofertas falsas de vagas de emprego imediato, empréstimos ou aluguel barato, onde a pessoa escaneia para preencher cadastro e entrega CPF, fotos de documentos e senhas.
4. Banners e cartazes em feiras ou congressos: em eventos lotados, golpistas colam adesivos por cima do QR code de credenciamento, sorteios ou grade de palestras, induzindo congressistas a baixar arquivos maliciosos no celular.
5. Cartões de visita impressos: em encontros e reuniões, pessoas distribuem cartões físicos com links disfarçados de portfólio que tentam instalar arquivos no aparelho ou capturar acessos de redes sociais.
6. Livros e apostilas didáticas: códigos impressos para acessar materiais complementares. Em sebos ou livrarias, adesivos são colados nas contracapas; em outros casos, o autor usou um gerador gratuito descartável que expirou anos depois, e o domínio abandonado foi comprado por golpistas para empurrar anúncios nocivos aos leitores.
7. Boletos impressos entregues pelo correio: cobranças com o código de barras rasurado de propósito, induzindo a vítima a quitar a conta escaneando o QR code falso colado ao lado.

Nos anexos digitais a lógica é a mesma. Antispams corporativos inspecionam links de texto com facilidade. Quando o link malicioso vai desenhado dentro de uma imagem PNG ou de um PDF, o arquivo costuma atravessar os filtros de e-mail sem chamar atenção.

A armadilha dos geradores gratuitos de internet#

Quem precisa colocar um código em um panfleto, embalagem ou vitrine costuma abrir o buscador e clicar no primeiro site que promete criar o arquivo de graça.

Passei por isso anos atrás em um teste com material impresso, e a conta chegou logo depois. A maioria desses geradores gratuitos opera com táticas abusivas:

• Bloqueio do link após a impressão: eles geram um redirecionamento pelos servidores deles. Duas semanas depois, com o panfleto distribuído ou a placa instalada, cortam o acesso e exibem um aviso dizendo que o período de teste acabou. Para liberar o link, exigem mensalidades altas.
• Telas intermediárias com anúncios: o usuário escaneia e cai em uma página cheia de banners e botões de download falsos antes de chegar ao seu site.
• Falta de números reais: você não sabe quantas pessoas leram o código, em quais dias houve mais movimento nem se a página final caiu.
• Código estático descartável: se você mudar a página de destino, todo o papel impresso vai para o lixo.

O que muda com links dinâmicos e proteção ativa#

Depois dessa experiência, defini uma regra prática: se o material vai para o papel, o link precisa ser dinâmico e ficar sob meu controle direto.

É por esse motivo que uso e indico a Uniqode. Em vez de ser um gerador descartável, ela é uma plataforma estruturada para gerenciar códigos no mundo físico:

• Edição de rota em tempo real: se o endereço do seu site ou cardápio mudar amanhã, você ajusta o destino no painel em segundos, sem mexer no que já foi impresso.
• Varredura contra phishing: a plataforma analisa destinos suspeitos, segue padrões SOC 2 Type II e GDPR, e avisa se houver desvios de rota.
• Domínio próprio: quem escaneia visualiza o seu próprio endereço na tela, o que evita desconfiança imediata.
• Leituras e horários: o painel mostra os locais com mais leituras, horários de pico e tipos de aparelhos usados.

Trocando cartões de papel por perfis digitais#

O mesmo problema das impressões acontece com cartões de visita de papel. A gente encomenda uma caixa com centenas de unidades, troca de número de telefone seis meses depois e o resto da caixa fica sem utilidade.

Uma saída limpa para isso é o Uniqode Digital Business Card. Ele combina cartões físicos por aproximação (NFC) com perfis salvos direto na Apple Wallet e no Google Wallet do celular.

Basta encostar o cartão ou ler o código para salvar telefone, redes sociais e site direto na agenda do contato. Quando algum dado muda, a atualização é feita no painel e quem já salvou seu perfil continua com os dados certos, sem desperdício de papel e sem carregar maços no bolso.

O que eu checo antes de colocar qualquer link na rua#

Antes de espalhar qualquer código por aí, sigo quatro passos simples para não ter surpresas:

1. Fujo de sites anônimos que prometem serviço vitalício grátis sem explicar como se sustentam.
2. Uso suportes acrílicos selados em locais públicos, onde qualquer adesivo colado por cima fica evidente na hora.
3. Passo a mão de vez em quando nas placas e displays expostos para conferir se ninguém colou nada por cima.
4. Mantenho o controle do redirecionamento com a Uniqode para conseguir pausar ou trocar a rota direto pelo telefone se algo der errado.

A ideia é simples: continuar aproveitando a praticidade dos códigos no dia a dia, sabendo exatamente onde o link começa e onde ele vai parar.

Veja também

Cibersegurança Investigando um IP hostil: rastreamento, anonimato em provedores cloud e resposta a phishing

Cibersegurança 10 dicas práticas para fortalecer sua cibersegurança

Cibersegurança Dominando os 8 domínios da cibersegurança: o guia definitivo do CISSP

Este post está licenciado sob CC BY-NC.