Exemplo de QRishing: o QR Code falso do estacionamento
Um adesivo com um QR Code aparece colado na placa da Zona Azul ou na entrada de um estacionamento. Promete pagar rápido e evitar a multa. O código abre uma página que pede os dados completos do cartão e, às vezes, o código que o banco envia.
Evite a multa! Pague em 30 segundos (Sinal 1)
- Placa
- ABC1D23
- Tempo
- 1 hora
- Total
- R$ 6,00
Número do cartão · Validade · CVV · CPF (Sinal 4)
Para confirmar, digite o código que o seu banco envia por SMS (Sinal 5)
Pagar R$ 6,00Cinco sinais que denunciam o QR Code falso
Pressa e multa
A ameaça de multa e os “30 segundos” empurram você a escanear sem olhar. Um sistema oficial não precisa assustar ninguém para receber.
Um adesivo colado por cima
Bordas que não batem, outra impressão, uma bolha de ar: o código falso costuma estar colado sobre o original ou ao lado. Se a placa parece adulterada, não escaneie.
Um domínio que não é o oficial
Antes de abrir o link, a câmera mostra o endereço. Se não é o da prefeitura, o da empresa do estacionamento ou o do app que você usa sempre, feche.
Dados demais para pagar uma hora
Número do cartão, validade, CVV e CPF juntos, numa página que você não conhece, é exatamente o que alguém precisa para usar o seu cartão em outro lugar.
Pedem o código do banco
O código que o banco envia autoriza uma operação. Se uma página de pagamento pede esse código à parte, ela pode estar autorizando uma compra diferente da que aparece na tela.
O que fazer se você vir um
- Não escaneie QR Codes colados na rua para pagar: use o app oficial ou o meio de pagamento que você já conhece.
- Se já escaneou, leia o endereço antes de abrir e feche se não for o do serviço oficial.
- Avise o estacionamento ou a prefeitura para que retirem o adesivo.
- Se acontecer no estacionamento da sua empresa, reporte à segurança: pode haver mais adesivos no prédio.
Se você já digitou o cartão
- Ligue para o banco pelo número oficial e peça o bloqueio do cartão.
- Se passou um código de verificação, diga isso na ligação: pode haver uma compra autorizada que você não fez.
- Acompanhe a fatura nos próximos dias e conteste qualquer compra que não reconheça.
- Se usou um cartão corporativo, avise o financeiro e a segurança.
A mesma armadilha em outros canais
Num e-mail
O QR Code chega num e-mail “para reativar a autenticação” ou “para ver um documento”. O filtro de e-mail não o lê como link e quem escaneia abre no celular pessoal.
Num cartaz do escritório
Um cartaz no refeitório ou no elevador oferece “o cardápio da semana”, “o wi-fi de visitantes” ou “a pesquisa de benefícios” com um QR Code. O destino pede login com a conta de trabalho.
Num boleto ou numa encomenda
Um QR Code “para rastrear o envio” ou “para pagar a diferença” num papel que chegou à recepção. Vale o mesmo cuidado: ler o endereço antes de abrir.
Perguntas sobre QRishing
Outros golpes para reconhecer
Quem da sua equipe escanearia um QR Code que ninguém pediu?
QRishing é um vetor nativo das simulações da Whalemate: a campanha coloca um QR Code diante de cada pessoa e mede quem escaneia e quem acaba digitando dados. Quem cai recebe um treinamento curto sobre esse sinal, não um curso genérico.