Golpe do QR code: como identificar um QR falso antes de escanear

No golpe do QR code, o código leva você a uma página falsa que pede um pagamento, uma senha ou a instalação de um aplicativo. Antes de confiar em qualquer QR, confira o endereço que o celular mostra antes de abrir, e nunca digite dados do cartão ou senhas em uma página que você abriu escaneando um código que não esperava.

Hoje tem QR code em todo lugar: parquímetros, mesas de restaurante, avisos de entrega, cartazes e portas de casa. É justamente por isso que os golpistas gostam deles. Neste guia você vai ver como os golpes costumam funcionar, uma checagem rápida de poucos segundos, o que fazer se já escaneou um código malicioso e como proteger um código que você mesmo coloca.

Como funciona o golpe do QR code

Um QR code é só um link impresso como um desenho de quadradinhos. Não dá para ler a olho nu, então você não sabe para onde ele leva até o celular decifrar. Os golpistas exploram esse ponto cego. A prática costuma ser chamada de “quishing”, uma mistura de QR com phishing.

O código em si é inofensivo. O perigo está na página que ele abre. Essa página quase sempre quer uma destas três coisas:

• Dinheiro: uma página de pagamento falsa, muitas vezes com um Pix, para estacionamento, pedágio, taxa de entrega ou multa.
• Seus dados de acesso: uma cópia da página de entrada do seu banco, do seu e-mail ou da transportadora, que guarda tudo o que você digita.
• Uma instalação: um pedido para baixar um aplicativo ou um arquivo fora da loja oficial.

Imprimir um código custa quase nada, e um adesivo pode ser colado sobre um verdadeiro em segundos. Por isso os golpes mais comuns acontecem em lugares públicos, onde ninguém confere quem colou o adesivo ali.

Os golpes com QR code mais comuns

Os detalhes mudam, mas a maioria dos casos segue alguns padrões conhecidos:

• Adesivo sobre um código verdadeiro. Um QR falso é colado em cima do original em um parquímetro, um carregador de carro elétrico, uma estação de bicicletas compartilhadas ou uma mesa de restaurante.
• Multas e avisos de estacionamento falsos. Um bilhete no para-brisa diz que você deve uma taxa e precisa pagar agora mesmo escaneando um código.
• Avisos de encomenda e entrega. Um cartão na caixa de correio ou uma carta diz que há um pacote esperando e pede uma pequena taxa ou seus dados.
• E-mails e mensagens com um código. A mensagem mostra um QR code em vez de um link, para você escanear com o celular, longe das proteções do computador.
• Códigos que prometem algo. Cartazes ou panfletos com prêmios, descontos ou Wi-Fi grátis que pedem para você entrar na sua conta primeiro.

O que todos têm em comum é a pressa. Uma empresa de estacionamento ou uma transportadora de verdade raramente precisa que você pague em minutos por um código colado com fita em um poste.

Como conferir um QR code antes de confiar nele

Você não precisa de nenhum programa especial. A maioria das câmeras de celular mostra o endereço em um pequeno aviso antes de abrir, e essa prévia é a sua melhor ferramenta. Se não sabe como o seu celular faz isso, nosso guia sobre como escanear um QR code no Android e no iPhone explica passo a passo.

1. Olhe o próprio código. Passe o dedo por cima. Um adesivo com bordas levantadas, uma segunda camada ou um código que parece mais novo que a placa ao redor é um sinal de alerta.
2. Leia o endereço antes de tocar. Confira o domínio: a parte logo antes da primeira barra simples. Ele deve ser da empresa que você espera, escrito corretamente, e não uma imitação com palavras a mais ou letras trocadas.
3. Desconfie de links encurtados. Um endereço encurtado esconde o destino real. Se o código é para pagar alguma coisa, isso já é motivo para parar.
4. Pergunte-se o que a página quer. Um cardápio ou uma tabela de horários simplesmente abre. Uma página que pede número de cartão, senha ou a instalação de um aplicativo merece uma segunda olhada.
5. Prefira o caminho oficial. Se um código pede pagamento, abra o aplicativo da própria empresa ou digite você mesmo o site dela. Você perde um minuto e elimina o risco.
6. Leve o contexto em conta. Um código que você não esperava, em uma mensagem que você não pediu, com prazo para acabar, é o formato clássico de um golpe.

O que fazer se você escaneou um QR code falso

Escanear um código, por si só, raramente causa dano. O que importa é o que você fez na página depois. Aja de acordo com o que aconteceu:

• Você só abriu a página. Feche. Normalmente basta fechar essa aba.
• Você digitou uma senha. Troque na hora no site verdadeiro e em qualquer outra conta em que usa a mesma senha. Ative a verificação em duas etapas, se estiver disponível.
• Você informou dados do cartão ou pagou. Ligue para o seu banco ou para a administradora do cartão pelo número que está no verso do cartão e peça para bloquear o cartão e analisar a cobrança.
• Você instalou algo. Desinstale e confira nas configurações do celular se há aplicativos que você não reconhece.
• O código estava em uma placa pública. Avise o responsável pelo parquímetro, pela loja ou pelo carregador para que ele seja retirado, e registre um boletim de ocorrência na polícia se você perdeu dinheiro.

Como proteger o QR code da sua própria porta

Cada vez mais gente cola um QR code na própria porta, portão ou balcão: para cardápios, pagamentos, Wi-Fi ou uma campainha. O mesmo truque do adesivo pode ser usado contra você, então alguns hábitos ajudam:

1. Coloque onde você veja. Deixe na altura dos olhos, no batente da porta ou atrás de um vidro, onde um estranho não consiga cobrir sem ser notado.
2. Dê uma olhada de vez em quando. Ao chegar em casa, olhe o código. Se ele parecer diferente, tiver outra camada por cima ou tiver mudado de lugar, escaneie você mesmo.
3. Proteja do tempo. Um código desbotado ou descolando é um convite para ser trocado. Cubra com fita transparente ou uma capa plástica. Se ele já está difícil de ler, veja nossas 10 soluções para um QR code impresso que não funciona.
4. Nunca use para cobranças que você não controla. Um código na porta deve iniciar uma conversa, não pedir dinheiro às suas visitas.

Uma campainha QR como o Qoorbell segue essa última regra desde a concepção. A visita escaneia o código com a câmera do celular, uma página web abre sem aplicativo e sem conta, e ela pode falar com você por videochamada ou chat. Nada nessa página pede dinheiro ou senha à visita. Ela só vê o nome da campainha, nunca o seu número de telefone, e-mail ou outros dados pessoais, então o código também não expõe você.

Esse nome da campainha também serve de checagem rápida para a visita: se ela escaneia a sua porta e o nome que aparece não é o seu, tem algo errado. E se o código for danificado ou arrancado, você pode imprimir uma nova cópia pela sua conta de graça, porque não há nenhum aparelho para trocar.

O que ter em mente

Nenhuma lista deixa você imune. Uma página falsa bem-feita pode parecer idêntica à verdadeira, então o hábito mais seguro é simples: não pague nem entre na sua conta em uma página que você abriu por um código que não esperava.

Uma campainha QR não impede que alguém cole um código falso na sua porta; ela só ajuda você a perceber. O Qoorbell não é um sistema de segurança nem uma câmera que vigia a sua porta. Se você quer deixar toda a entrada mais segura, nossas dicas baratas de segurança residencial falam de fechaduras, iluminação e hábitos que importam mais do que qualquer código.

Por fim, este é um conselho geral de segurança, não uma orientação jurídica ou financeira. Se você perdeu dinheiro, o seu banco e a polícia da sua cidade são quem você deve procurar.

Perguntas frequentes

Escanear um QR code pode hackear meu celular?

Só escanear muito raramente faz alguma coisa. O risco está no que você faz depois: digitar uma senha, pagar ou instalar um aplicativo a partir da página que abre.

Como saber se um QR code é falso?

Procure um adesivo colado sobre outro código, leia o endereço que o celular mostra antes de abrir e desconfie de qualquer página que apresse você a pagar ou entrar na sua conta.

Os QR codes dos parquímetros são seguros?

Muitos são verdadeiros, mas os parquímetros são um alvo comum de adesivos. Na dúvida, pague pelo aplicativo ou pelo site oficial da empresa de estacionamento em vez de usar o código.

Alguém pode colar um código falso sobre a minha campainha QR?

Pode, e por isso vale colocar o código onde você o veja todo dia e conferir de vez em quando. Quem escaneia o seu código do Qoorbell vê o nome da sua campainha, então um nome diferente é um sinal fácil de que algo não está certo.

Escaneie com tranquilidade

Os QR codes são úteis, e a maioria é exatamente o que parece. Alguns segundos para conferir o adesivo, o endereço e o que a página pede bastam para evitar a maioria dos golpes. Se você quer um código na porta que só conecte as suas visitas a você, sem mostrar o seu número, crie grátis a sua campainha Qoorbell.