Golpes com QR Code: como funcionam e como se proteger

O QR Code tem uma característica que golpistas adoram: você não consegue ver para onde ele leva antes de escanear. Um link em texto pode ser inspecionado; um quadrado de pixels, não. Essa opacidade é a base de praticamente todos os golpes que envolvem a tecnologia.

A boa notícia é que os golpes são poucos, repetitivos e têm sinais claros. Conhecendo os padrões, o risco cai bastante.

O golpe do adesivo sobreposto

É o mais comum no Brasil e o mais simples de executar. O golpista imprime um QR Code de pagamento com a própria chave e cola sobre o código legítimo exposto no balcão de um comércio, em um parquímetro, em um cartaz de doação ou em uma placa de estacionamento.

O cliente escaneia acreditando que paga ao estabelecimento, e o dinheiro vai para o golpista. O comerciante só descobre quando o cliente mostra o comprovante e o valor nunca entrou na conta.

Como se proteger, se você paga

• Confira o nome do recebedor na tela do aplicativo antes de confirmar. Esta é a proteção mais eficaz de todas. O nome está ali exatamente para isso. Se não bate com o estabelecimento, não confirme e avise alguém do local.
• Desconfie de adesivo que parece colado por cima, com bolha, borda desalinhada ou papel diferente do restante do material.
• Confira o valor antes de confirmar. Cobranças com valor diferente do combinado são sinal de alerta.

Como se proteger, se você recebe

• Escaneie o seu próprio código periodicamente e confirme que ele ainda leva a você.
• Passe a mão sobre o código para sentir se há camada colada por cima.
• Use placa laminada, emoldurada ou impressa direto no material, bem mais difícil de sobrepor discretamente que uma folha solta.
• Coloque o seu logo no código. Além de identificar, dificulta a substituição por um código genérico. Veja como fazer sem quebrar a leitura.

Quishing: phishing por QR Code

A palavra é a junção de QR com phishing. O código leva a uma página falsa que imita um banco, um serviço de entrega, a Receita Federal ou um sistema de pagamento de multas, e pede login, senha ou dados de cartão.

O QR Code é usado no lugar do link porque contorna filtros de segurança: sistemas antifraude de e-mail leem links, mas não decodificam imagens com a mesma facilidade. É por isso que o quishing cresceu em e-mails corporativos.

Canais típicos:

• E-mail dizendo que a sua conta será bloqueada, com um código para "reativar".
• Carta física com aparência oficial, cobrando taxa ou multa.
• Cartaz em poste ou parquímetro oferecendo pagamento rápido.
• Mensagem sobre encomenda parada na alfândega pedindo pagamento de taxa.
• Falsa vaga de emprego ou promoção de loja conhecida.

Os sinais de alerta

• Urgência. "Sua conta será bloqueada em 24 horas." Pressa é a ferramenta principal do golpista.
• Endereço estranho. Depois de escanear, olhe o endereço antes de abrir. Domínios com erro de grafia, muitos hifens ou terminações incomuns são bandeira vermelha.
• Pedido de senha ou dados de cartão. Nenhum banco pede isso por link recebido.
• Código recebido de desconhecido, por mensagem ou e-mail não solicitado.
• Promessa boa demais. Prêmio, restituição inesperada, desconto absurdo.
• QR Code solto em espaço público, colado em poste, ponto de ônibus ou banheiro, sem identificação de quem o colocou.

Hábitos que reduzem quase todo o risco

1. Sempre olhe o endereço antes de abrir. iPhone e Android mostram o destino em uma notificação; leia antes de tocar.
2. Nunca digite senha em página aberta por QR Code. Se precisa entrar na sua conta, feche e abra o aplicativo oficial ou digite o endereço à mão.
3. Confira o nome do recebedor em qualquer pagamento.
4. Não escaneie códigos recebidos de desconhecidos.
5. Mantenha o sistema do celular atualizado.
6. Ative a verificação em duas etapas nas contas importantes. Mesmo que a senha vaze, o acesso não se completa.

O que um QR Code não consegue fazer

Vale desfazer alguns medos exagerados que circulam. Escanear um QR Code, por si só, não instala vírus, não invade o seu celular e não transfere dinheiro.

Ele é texto. O máximo que faz é abrir um endereço, propor uma conexão de rede ou preencher um campo. Todo dano depende de uma ação sua depois disso: digitar uma senha, confirmar um pagamento, instalar um arquivo. A defesa está sempre nesse segundo passo — e é por isso que ele merece dois segundos de atenção.

Se você foi vítima, registre boletim de ocorrência, avise imediatamente o seu banco (no PIX existe o mecanismo especial de devolução) e, se o golpe usou a marca de uma empresa, comunique também a empresa.