Quishing: golpes com QR Code aumentam 460% no Brasil

Golpes de phishing que usam QR Codes cresceram 460% no Brasil entre janeiro e fevereiro de 2026, segundo dados da ESET. O levantamento, baseado na telemetria da empresa durante o primeiro semestre, mostra que os chamados ataques de quishing já representaram 7,2% das detecções de phishing no período.

O termo quishing é usado para descrever golpes de phishing que utilizam códigos QR para levar a vítima a páginas falsas, formulários de captura de dados ou arquivos maliciosos. A técnica aproveita a familiaridade do público com os códigos usados em pagamentos, cardápios, entregas, eventos e autenticações.

A principal diferença em relação a um link convencional está na forma como o endereço chega ao usuário. Ao apontar a câmera do celular para um QR Code, a pessoa pode acessar o destino sem observar previamente a URL, o que dificulta identificar domínios falsos ou redirecionamentos suspeitos.

O golpe pode começar com uma imagem enviada por e-mail, aplicativo de mensagens ou rede social. O QR Code pode aparecer sozinho ou dentro de um documento aparentemente legítimo, como um PDF de cobrança, nota fiscal, contrato ou comprovante.

Depois da leitura, o código direciona o usuário para uma página controlada pelos criminosos. O site pode imitar serviços conhecidos e solicitar senha, dados bancários ou códigos de autenticação. Em outros casos, a vítima é induzida a baixar um arquivo malicioso .

Segundo Jonathan Ramos, pesquisador de segurança da ESET Brasil, o QR Code reduz uma etapa importante da avaliação feita pela vítima porque o endereço não fica visível antes da leitura. "A pessoa enxerga uma imagem familiar, escaneia e muitas vezes segue as instruções sem verificar para onde foi direcionada", afirmou.

Por isso, a recomendação é tratar o código como qualquer outro link e checar para onde ele direciona antes de continuar.

O crescimento dos ataques com QR Code ocorre em um cenário no qual o phishing continua sendo uma das principais ameaças identificadas pela ESET. A categoria correspondeu a 35,9% de todas as detecções analisadas pela empresa no Brasil durante o primeiro semestre.

Apesar do avanço do quishing, os arquivos PDF concentraram a maior parcela das detecções de phishing no período. A categoria PDF/Phishing respondeu por 52% dos casos identificados pela ESET.

Os criminosos podem usar documentos que simulam uma segunda via de boleto, uma nota fiscal, um comprovante de pagamento ou um contrato . Em ambientes profissionais, também aparecem situações como orçamentos, currículos, pedidos de clientes e documentos supostamente compartilhados por colegas.

Um PDF desse tipo pode conter um botão, link ou QR Code. Ao acessar o conteúdo, a vítima pode ser direcionada para uma página falsa que tenta coletar credenciais e informações financeiras ou pode ser estimulada a baixar um programa malicioso.

A primeira medida é verificar o endereço exibido depois da leitura do código antes de fornecer qualquer informação. Vale observar o domínio, erros de grafia e redirecionamentos para endereços que não tenham relação com o serviço esperado.

QR Codes recebidos sem contexto também exigem cautela.