Cuidado ao escanear: phishing com QR Code dispara 460% no Brasil

Evolução mensal das principais detecções de phishing no Brasil no primeiro semestre de 2026. A categoria QRCode/Phishing saltou de janeiro para fevereiro. Fonte: ESET

Flavio Sartori

Em apenas um mês, as detecções de phishing com códigos QR cresceram 460% no Brasil. O salto, registrado entre janeiro e fevereiro, faz parte de um panorama inédito da ESET sobre as ameaças digitais detectadas no país durante o primeiro semestre de 2026. No período, o phishing liderou o cenário nacional, com 35,9% de todas as detecções analisadas pela empresa, e os arquivos PDF fraudulentos foram a principal fonte de propagação desse tipo de golpe, respondendo por 52% das detecções da categoria.

O quishing, como é conhecido o phishing por QR code, é um golpe que usa códigos QR para conduzir a vítima a páginas falsas, formulários de captura de dados ou arquivos maliciosos. O formato ajuda a esconder o endereço de destino e ainda transfere a interação para o celular, onde é mais difícil conferir a URL com atenção antes de acessar — um recurso que os criminosos exploram justamente porque o QR code se tornou parte natural da rotina de pagamentos, cardápios, entregas, eventos e autenticações.

As detecções identificadas como QRCode/Phishing e QRCode/URL somaram 7,2% do volume total de phishing no Brasil no semestre. O avanço observado em fevereiro confirma uma tendência que já vinha sendo monitorada globalmente pela ESET: segundo o relatório de ameaças da companhia para o primeiro semestre de 2026, o quishing atingiu níveis recordes em todo o mundo, com QR codes presentes em cerca de 11% de todos os e-mails de phishing detectados e uma média de 100 mil detecções mensais, com pico em abril.

"O QR Code reduz uma etapa importante de avaliação da vítima, porque o endereço não está visível antes da leitura. A pessoa enxerga uma imagem familiar, escaneia e muitas vezes segue as instruções sem verificar para onde foi direcionada. O crescimento das detecções reforça a necessidade de tratar cada código recebido como um link: é preciso observar a origem, conferir o endereço aberto e desconfiar de qualquer pedido de senha, pagamento ou instalação", explica Jonathan Ramos, pesquisador de segurança na ESET Brasil.

Mesmo com o salto dos códigos QR, os PDFs foram a principal forma de phishing detectada no primeiro semestre no Brasil: a categoria PDF/Phishing respondeu por 52% do volume. O formato se mistura facilmente às mensagens que as pessoas recebem todos os dias e costuma chegar com uma justificativa simples para provocar o clique.

O arquivo pode aparecer como a segunda via de um boleto que estaria prestes a vencer, uma nota fiscal de compra que a pessoa não reconhece, um comprovante de pagamento, uma cobrança em atraso ou um contrato aguardando assinatura. Em ambientes de trabalho, também pode simular um orçamento, currículo, pedido de cliente ou documento compartilhado por um colega. Ao abrir o PDF, a vítima pode encontrar um botão, link ou QR Code que a leva a uma página falsa para inserir senha, dados bancários ou outras informações pessoais, ou ainda ser induzida a baixar um arquivo malicioso.

Entre as marcas e plataformas usadas como isca nas campanhas observadas pela telemetria, a DocuSign apareceu em primeiro lugar, com 1,3% do volume de phishing, seguida por Telegram, com 0,5%, e WeTransfer, com 0,3%. A presença desses nomes não indica invasão de seus sistemas: os golpistas imitam a identidade visual e o tom das comunicações para fazer o conteúdo parecer legítimo. A escolha da DocuSign como isca preferida não é coincidência — a ESET já havia identificado, em investigação anterior, ao menos três sites falsos em português que copiavam a identidade visual da plataforma de assinatura eletrônica para distribuir malware automaticamente, sem exigir nenhum clique da vítima além do acesso à página fraudulenta.

A aparência conhecida de um PDF ou de um QR Code não garante que o conteúdo seja seguro. Antes de agir, vale observar se a mensagem era esperada, conferir quem a enviou e buscar o suposto remetente por um canal oficial. A ESET recomenda alguns cuidados básicos.

O primeiro é conferir o endereço exibido após a leitura do código: antes de prosseguir, é preciso verificar o domínio, possíveis erros de escrita e redirecionamentos inesperados. O segundo é desconfiar de urgência e pressão — pedidos para pagar imediatamente, confirmar uma conta ou evitar um suposto bloqueio são sinais frequentes de fraude. O terceiro cuidado é evitar códigos de origem desconhecida, não escaneando imagens recebidas sem contexto por e-mail, aplicativos de mensagem ou redes sociais.

Também é fundamental não fornecer credenciais: se a página pedir senha, dados bancários ou código de autenticação, o ideal é interromper o acesso e procurar o canal oficial diretamente. Por fim, manter os dispositivos protegidos, com atualizações de segurança em dia e uma solução de proteção instalada, ajuda a bloquear páginas e arquivos maliciosos antes que causem dano.

"Os criminosos combinam formatos cotidianos com mensagens que parecem legítimas. Por isso, a proteção não depende apenas de reconhecer um golpe visualmente, mas de criar o hábito de interromper a ação e validar o pedido por outro canal. Alguns segundos de verificação podem impedir o roubo de credenciais, dados financeiros ou o comprometimento do dispositivo", completa Ramos.