Blog

Quishing: como funcionam os golpes com QR code e como verificar um

Uma mão segurando um iPhone erguido na direção de um parquímetro em que um adesivo quadrado liso foi colado sobre o código quadrado original, com uma lupa entre o celular e o parquímetro

Quishing é phishing com QR code em um parquímetro, em uma encomenda ou em uma mensagem de texto. Como verificar um código antes de abri-lo e o que fazer se você já escaneou um.

Marco Lee6 min de leitura

Quishing é phishing com QR code: o golpista coloca um link dentro de um código, em um adesivo, em uma encomenda ou em uma mensagem, na esperança de que você escaneie e depois entre ou pague em uma página falsa. Escanear apenas lê o código. O dano vem do que você abre, digita ou instala depois, então eu sempre olharia o endereço primeiro.

O que é quishing?

O FBI descreve o truque assim: “Criminosos adulteram tanto QR codes digitais quanto físicos para substituir códigos legítimos por códigos maliciosos.” Uma vítima “escaneia o que acredita ser um código legítimo, mas o código adulterado a direciona para um site malicioso, que pede que ela digite informações de login e financeiras” (FBI IC3). O FBI acrescenta que “QR codes não são maliciosos por natureza”. O que importa é para onde o código aponta.

A FTC dá o mesmo alerta: um código escaneado pode levar você a um site falso criado para roubar suas informações, ou instalar malware (FTC). O smishing, a mesma ideia por mensagem de texto, está em O que é smishing?. Se você quiser verificar um código agora, o Leitor de QR Code gratuito deste site mostra para onde ele vai antes de você abrir qualquer coisa.

Onde aparecem QR codes falsos

  • Adesivos em parquímetros e terminais de pagamento. A FTC alerta que golpistas cobrem os QR codes reais dos parquímetros com os seus, e que um código falso pode levar a um site feito para roubar dinheiro, informações pessoais, ou ambos (FTC). O FBI também lista “um adesivo colocado por cima do código original” como sinal de adulteração (FBI IC3).
  • Encomendas que você não pediu. A FTC descreve uma encomenda inesperada com um bilhete pedindo que você escaneie um código para descobrir quem enviou ou como devolver. O código pode levar a um site de phishing ou a um download de malware (FTC). O FBI chama isso de uma variação do “brushing scam” e diz: “Não escaneie QR codes de origem desconhecida” (FBI IC3).
  • Mensagens de texto e e-mails com um código no lugar de um link. A FTC diz que golpistas enviam códigos por mensagem de texto ou e-mail com um motivo inventado para escanear, como uma entrega que falhou, um problema na conta ou atividade suspeita (FTC). Não encontrei um aviso oficial sobre QR codes em mensagens falsas do USPS especificamente, então, para mensagens de entrega em geral, veja mensagem golpista do USPS: como identificar uma falsa.
  • E-mails de pagamento recusado. O exemplo do FBI é um e-mail dizendo que um pagamento falhou e que só pode ser concluído por um QR code. A orientação é ligar para a empresa usando um número de um site confiável, e não o número do e-mail (FBI IC3).

O que escanear pode e não pode fazer no iPhone

Os passos da Apple: abra a Câmera, aponte-a para o código no modo Foto e “Toque no link que aparece na parte inferior da tela” (Apple Support). Então a Câmera lê o código e oferece um link, e nada abre até você tocar nele. Essa pausa é a sua chance de ler o endereço.

O que o código faz depois depende da página. O FBI diz que um código malicioso pode levar a um site que pede login e dados financeiros, ou embutir malware (FBI IC3). Eu trataria qualquer página que peça senha, número de cartão ou a instalação de um app depois de um escaneamento como suspeita, até que se prove o contrário.

Como verificar um QR code antes de abri-lo

  1. Olhe o link primeiro. A FTC diz para “inspecionar a URL antes de abri-la” e procurar erros de digitação ou letras trocadas (FTC). Um endereço falso pode ser parecido com o real, com um erro de digitação ou uma letra fora do lugar (FBI IC3).
  2. Use um leitor que mostre o endereço real. No Leitor de QR Code, você envia uma foto ou um print do código. Ele lê a imagem no seu navegador e não a envia, mostra em letras grandes o site para onde o link realmente vai, e aponta sinais de alerta: um site que não é a empresa que ele menciona, um encurtador de links, um link que não é criptografado, um endereço IP puro, palavras sobre pedágios, multas ou entregas, um download de arquivo ou app, e um pagamento em cripto. Ele nunca diz que um link é seguro, e não consegue seguir um link encurtado, porque nunca abre o que o código aponta. Um resultado limpo só significa que nada no código parece errado. Veja também o que fazer com o aviso de site enganoso se o Safari sinalizar a página.
  3. Confira um código físico. Passe o dedo sobre ele. Se for um adesivo colado sobre outro código, não use (FBI IC3).
  4. Ignore o código quando ele for inesperado ou urgente. A FTC diz para evitar códigos em mensagens que você não esperava e entrar em contato com a empresa por um número de telefone ou site que você já sabe que é real (FTC). Para um pagamento, o FBI sugere digitar você mesmo um endereço conhecido e confiável (FBI IC3).
  5. Não instale nada a partir de um código. O FBI diz: “Não baixe um app a partir de um QR code. Use a loja de apps do seu celular para um download mais seguro.” Também desaconselha baixar um leitor de QR separado, já que a maioria dos celulares já tem um na Câmera (FBI IC3).

E se eu já escaneei?

Escanear apenas lê o código, e nada abre até você tocar no link. Se você abriu a página, é isto que eu faria, seguindo a FTC:

  • Não entre em contato com o golpista pela página falsa, já que ele pode tentar conseguir mais dinheiro ou informações (FTC).
  • Se você digitou uma senha, troque-a no site real e em qualquer conta que use a mesma, e ative a autenticação de dois fatores (FTC).
  • Se você digitou dados de cartão ou de banco, ou pagou, confira o extrato do cartão e da conta em busca de transações que você não fez (FTC), e avise o seu banco. O FBI alerta que as autoridades “não podem garantir a recuperação de fundos perdidos após a transferência”, então não espere (FBI IC3).
  • Se ele instalou algo, veja como saber se o seu iPhone foi invadido.
  • Verifique seu crédito. A FTC sugere um relatório de crédito gratuito em AnnualCreditReport.com e, se a sua identidade foi roubada, um plano de recuperação em IdentityTheft.gov (FTC).

Como denunciar um golpe com QR code

  • Denuncie à FTC em ReportFraud.ftc.gov (FTC).
  • Denuncie ao Centro de Denúncias de Crimes na Internet do FBI em ic3.gov, ou ao escritório local do FBI (FBI IC3). Para uma encomenda, inclua o nome ou a empresa do remetente, como ele entrou em contato com você e quaisquer apps ou permissões envolvidas (FBI IC3).
  • Para um código em um parquímetro ou terminal de pagamento, eu também avisaria quem administra o equipamento para que ele possa remover o código. Não encontrei uma fonte oficial para essa etapa, então é uma sugestão minha.

O que o Mistero pode e não pode fazer aqui

O Mistero não consegue impedir que um adesivo falso seja colocado em um parquímetro, não consegue impedir que uma mensagem golpista chegue até você e não consegue recuperar dinheiro. Ele também não consegue dizer que um link é seguro.

O que o app faz, segundo a listagem: “Escanear QR codes e revisar seus links antes de abri-los”, “Ajudar a bloquear páginas de phishing conhecidas e domínios maliciosos” e “No iPhone, ative a identificação de chamadas, o bloqueio de chamadas de spam e a filtragem de SMS” (listagem na App Store, lida em 4 de nov. de 2026). São verificações extras em torno da que realmente importa: ler o endereço antes de tocar. Mais em segurança do Mistero.

Fontes

Preços Novos assinantes podem começar um teste gratuito de 3 dias. Após o teste, a assinatura é renovada automaticamente por $12.99 por semana, a menos que você cancele pelo menos 24 horas antes do fim do teste, em Ajustes > [seu nome] > Assinaturas (Suporte da Apple). Também há uma compra única vitalícia por $99.99. Estes são os preços da App Store dos EUA em outubro de 2026; a tela de compra mostra o preço atual antes de você confirmar.

Perguntas frequentes

O que é quishing?

Quishing é phishing com QR code. O golpista esconde um link em um código, em um adesivo, em uma encomenda, em um panfleto ou em uma mensagem, e o código leva a um site falso que pede login ou pagamento, ou a um download. O FBI descreve criminosos que adulteram códigos para redirecionar as vítimas a sites maliciosos que roubam informações de login e financeiras.

Posso ser hackeado escaneando um QR code?

Um código é apenas texto, e no iPhone a Câmera mostra um link que você ainda precisa tocar. O dano vem da página que você abre: uma tela falsa de login ou de pagamento, ou um download. O FBI e a FTC dizem que um código malicioso pode levar a malware, então não instale nada que um código aponte.

Como saber se um QR code é seguro?

Você não consegue saber só pelo quadrado. Veja o endereço para onde ele leva antes de abri-lo, procure erros de digitação ou letras trocadas e confira se um código físico não é um adesivo colado sobre o original. Um leitor gratuito, como o deste site, mostra o endereço real e aponta sinais de alerta, mas nunca diz que um link é seguro.

O que devo fazer se escaneei um QR code golpista?

Não entre em contato com o golpista pelo site. Troque as senhas de qualquer conta em que você digitou o mesmo login, confira o extrato do cartão e do banco em busca de cobranças que você não fez, ligue para o seu banco se digitou dados do cartão e denuncie em ReportFraud.ftc.gov.
Ver todos os artigos
Segurança8 min de leitura9 de nov. de 2026Controles parentais do iOS 27: o que mudou e por que eles não aparecemO iOS 27 redesenhou o Tempo de Uso para crianças: Limites de Apps viraram Limites de Tempo, o Repouso passou para os horários, e Pedir para Navegar é novo. Por que pode não aparecer.Segurança7 min de leitura9 de nov. de 2026Site não permitido no iPhone: o que significa e como resolver"Site não permitido" é o filtro de sites do Tempo de Uso. Por que ele aparece, incluindo a verificação de idade do Reino Unido e da Austrália, e a solução certa para adultos, crianças e aparelhos de trabalho.Segurança7 min de leitura6 de nov. de 2026Dispositivo desconhecido na minha rede? Como identificá-loUm dispositivo desconhecido no seu Wi-Fi costuma ser o seu próprio celular ou um gadget inteligente. Veja o fabricante, identifique endereços privados e saiba quando trocar a senha.