Os códigos QR tornaram-se uma ferramenta do dia a dia, permitindo aceder rapidamente a páginas web, efetuar pagamentos ou consultar documentos. No entanto, esta popularidade também despertou o interesse dos cibercriminosos.
Quishing já representa 4,8% das ameaças por email em Portugal
Segundo a ESET, as fraudes que recorrem a códigos QR, conhecidas como quishing, já figuram entre as principais ameaças por email em Portugal.
De acordo com a mais recente análise da ESET, as campanhas de quishing foram a sétima ameaça por email mais detetada em Portugal entre dezembro de 2025 e maio de 2026, representando 4,8% do total de deteções registadas no país durante esse período.
A nível mundial, a tendência é ainda mais significativa. Cerca de 11% de todos os emails de phishing detetados pela ESET utilizavam códigos QR para esconder ligações maliciosas. Em média, foram identificadas aproximadamente 100 mil deteções por mês, tendo o pico ocorrido em abril, o valor mais elevado desde que a empresa começou a monitorizar esta técnica de forma autónoma, em setembro de 2025.
Como funciona esta fraude?
Ao contrário do phishing tradicional, o quishing substitui a ligação maliciosa por um código QR.
O atacante envia um email que aparenta ser legítimo, em nome de uma empresa, do departamento de recursos humanos ou de um serviço amplamente utilizado. Em vez de incluir um link, a mensagem pede ao destinatário que leia o código QR com o smartphone para consultar um documento, validar uma informação ou concluir uma tarefa considerada urgente.
Entre os exemplos identificados pela ESET encontram-se falsas comunicações sobre:
- Alterações salariais;
- Benefícios para colaboradores;
- Documentos para aprovação ou assinatura;
- Serviços conhecidos, como a DocuSign.
Depois de digitalizar o código, a vítima é encaminhada para um site fraudulento que imita uma plataforma legítima e onde lhe são solicitadas credenciais de acesso, dados bancários ou outras informações sensíveis.
O quishing é particularmente eficaz porque reduz a visibilidade do ataque. A ligação maliciosa não aparece diretamente no corpo do email e a interação passa frequentemente para um telemóvel, onde o utilizador pode não beneficiar dos mesmos controlos de segurança. Esta combinação aumenta significativamente a probabilidade de sucesso da fraude
Ricardo Neves, responsável de Comunicação da ESET Portugal.
O ataque muda do computador para o telemóvel
Uma das grandes vantagens desta técnica para os atacantes é conseguir transferir a interação do utilizador para outro dispositivo.
O email pode ser recebido num computador protegido por filtros de segurança, soluções antiphishing e antivírus. No entanto, ao digitalizar o código QR, toda a operação passa para o telemóvel, que poderá não estar protegido pelas mesmas soluções ou políticas de segurança da organização.
Além disso, como o endereço está escondido no código QR, o utilizador não consegue verificar facilmente o destino da ligação antes de aceder ao site.
Não acontece apenas por email
A ESET alerta que o quishing também já está presente em espaços públicos.
Os criminosos têm sido apanhados a substituir códigos QR legítimos por versões fraudulentas em equipamentos como:
- Parquímetros;
- Bicicletas e trotinetes partilhadas;
- Sistemas de pagamento;
- Outros serviços públicos.
Foram igualmente identificadas campanhas que utilizam falsas multas de estacionamento e notificações fraudulentas relacionadas com portagens, levando as vítimas para páginas destinadas ao roubo de dados bancários.
Como se proteger?
Para reduzir o risco de cair neste tipo de fraude, a ESET aconselha os utilizadores a tratarem qualquer código QR da mesma forma que tratariam uma ligação desconhecida.
Entre as principais recomendações estão:
- Confirmar se o email ou mensagem era realmente esperado;
- Verificar cuidadosamente a identidade do remetente;
- Desconfiar de mensagens que criem um sentido de urgência;
- Evitar fornecer credenciais ou dados bancários após abrir um código QR sem confirmar a legitimidade do site.
Já para as organizações, a recomendação passa por investir em soluções de segurança capazes de analisar ligações escondidas em códigos QR, reforçar a proteção dos dispositivos móveis e promover ações de sensibilização para este tipo de ataque, que continua a ganhar expressão tanto em Portugal como a nível internacional.
Saber mais aqui.