Os códigos QR tornaram-se parte indispensável do dia a dia dos portugueses — seja para pagar o almoço, ver a ementa de um restaurante ou aceder a documentos. No entanto, o que parece um gesto inofensivo transformou-se na nova arma favorita dos cibercriminosos.
A vaga de ciberataques conhecidos como “quishing” (falsos códigos QR) está a disparar no país e a apanhar milhares de utilizadores desprevenidos. O primeiro alerta chegou através da GNR e agora é a empresa ESET que chama a atenção para o crescimento rápido desta bura em Portugal.
O que é o quishing?
Segundo a mais recente análise da ESET, as campanhas de quishing já representam 4,8% de todas as ameaças por email detetadas em Portugal, tendo sido a sétima ameaça mais identificada entre dezembro de 2025 e maio de 2026.
Ao contrário do phishing tradicional, onde o utilizador é induzido a clicar numa ligação fraudulenta, o quishing substitui esse link por um código QR. O esquema é o seguinte:
- O utilizador recebe um email aparentemente legítimo do seu trabalho, departamento de RH ou serviços como o DocuSign;
- A mensagem pede para que o código QR seja lido com o telemóvel para aprovar um documento, verificar um aumento salarial ou validar um benefício urgente;
- Ao digitalizar o código QR, o utilizador é redirecionado para um site falso, idêntico ao original, concebido para roubar passwords e dados bancários.
Os códigos QR fraudulentos já chegaram à rua
Mas atenção que este fenómeno não se limita ao email. A ESET alerta que os cibercriminosos têm vindo a substituir códigos QR legítimos por versões fraudulentas em vários equipamentos e serviços públicos.
Entre os casos já identificados encontram-se códigos QR adulterados em:
- Parquímetros;
- Bicicletas e trotinetes partilhadas;
- Sistemas de pagamento;
- Outros equipamentos de utilização pública.
Também foram detetadas campanhas que recorrem a falsas multas de estacionamento ou notificações relacionadas com portagens, encaminhando as vítimas para páginas destinadas ao roubo de dados bancários.
Como evitar cair nesta burla
Os especialistas recomendam que qualquer código QR seja tratado com o mesmo nível de desconfiança que uma ligação para um site recebida por email ou mensagem. ~
Por outras palavras, o utilizador deve verificar cuidadosamente a identidade do remetente e desconfiar de pedidos urgentes ou inesperados. Acrescente-se ainda que o endereço de qualquer site deve ser confirmado antes da validação de qualquer informação pessoal sensível, como são os dados bancários.
No caso das empresas, a ESET aconselha a adoção de soluções de segurança capazes de analisar ligações escondidas em códigos QR, reforçar a proteção dos dispositivos móveis e investir na formação dos colaboradores para reconhecer este tipo de fraude.
Com a utilização de códigos QR a aumentar em serviços públicos, pagamentos e comunicações empresariais, os especialistas alertam que o quishing deve continuar a crescer nos próximos meses, tornando-se uma das principais ameaças da cibersegurança em Portugal.
