As fraudes que recorrem a códigos QR ocupam agora o sétimo lugar entre as ameaças por email mais detectadas em Portugal. A ESET avança que, entre Dezembro de 2025 e Maio de 2026, esta táctica representou 4,8% do total de detecções a nível nacional.
A nível global, a empresa de cibersegurança registou uma média de 100 mil detecções mensais, com cerca de 11% de todos os emails de phishing a utilizarem esta técnica. O pico ocorreu em Abril, a atingir o valor mais alto desde que a ESET começou a monitorizar o fenómeno de forma isolada, em Setembro de 2025. Conhecida no mundo da segurança informática como “quishing”, esta burla esconde hiperligações maliciosas em códigos QR para encaminhar as vítimas para páginas falsas, com o objectivo de roubar credenciais ou dados financeiros.
O perigo de passar do computador para o telemóvel
Ricardo Neves, Responsável de Comunicação da ESET Portugal, explica que o quishing é altamente eficaz por reduzir a visibilidade do ataque. A ligação não surge no corpo do email e a acção transita para o smartphone e os cibercriminosos aproveitam o facto de estes dispositivos pessoais muitas vezes não terem os mesmos controlos de segurança das redes das empresas.
Ao mesmo tempo, como a ligação está codificada numa imagem, o utilizador não consegue avaliar imediatamente o endereço, o que faz com que alguns sistemas tradicionais de segurança de email tenham maior dificuldade em analisar a ameaça.
Falsas promessas de aumentos salariais
O esquema começa, por norma, com uma mensagem de correio electrónico que simula ser do departamento de recursos humanos ou de uma plataforma conhecida, como a DocuSign. O texto pede ao utilizador para ler o código QR com a câmara do telemóvel para aprovar documentos urgentes, consultar alterações de salário ou verificar benefícios laborais.
Ao fazê-lo, a vítima é direccionada para um site fraudulento, que pode abrir directamente no browser do telemóvel, desenhado para reproduzir a aparência de um serviço legítimo e solicitar credenciais profissionais ou dados bancários.
Ameaças nas ruas e como manter a segurança
A ESET alerta que esta fraude já ultrapassou o mundo digital e chegou aos espaços públicos. Os criminosos colam códigos falsos em parquímetros, bicicletas partilhadas e até em falsas multas de estacionamento ou notificações de portagens.
Para reduzir o risco nos smartphones actuais, a ESET recomenda tratar qualquer código QR com a mesma desconfiança aplicada a um link desconhecido. É fundamental confirmar a identidade do remetente, garantir que a comunicação era esperada e ignorar pedidos que exijam urgência. As empresas devem também investir em soluções de segurança capazes de identificar ligações maliciosas escondidas nestas imagens e apostar na sensibilização contínua dos seus trabalhadores.
