Golpes com QR Code representam 11% dos e-mails de phishing

Pagar uma conta via Pix, acessar o cardápio de um restaurante ou confirmar a entrada em um evento: o QR Code se tornou parte da rotina dos brasileiros — e também uma das ferramentas favoritas dos cibercriminosos. Segundo o ESET Threat Report H1 2026, aproximadamente 11% de todos os e-mails de phishing detectados pela empresa já utilizam QR Codes, um volume que alcançou cerca de 100 mil detecções mensais, com pico registrado em abril. O avanço mostra que os criminosos estão adaptando golpes tradicionais a formatos cada vez mais familiares ao usuário.

Diferentemente de um link tradicional, o QR Code esconde o endereço de destino até ser escaneado. Nos celulares, onde boa parte dessas ações acontece, a navegação tende a ser mais rápida e intuitiva, reduzindo as chances de o usuário verificar se o site é legítimo antes de fornecer informações ou concluir uma transação.

O cenário é especialmente relevante no Brasil, onde o QR Code se consolidou como uma ferramenta de uso cotidiano. Segundo pesquisa da CNDL e do SPC Brasil, 86% dos consumidores brasileiros já realizaram pagamentos utilizando essa tecnologia, principalmente por meio do Pix. Esse hábito facilita a rotina, mas também reduz a desconfiança diante de códigos aparentemente legítimos — característica explorada pelos criminosos nas campanhas de quishing.

"O QR Code transmite uma sensação de legitimidade porque faz parte da nossa rotina. As pessoas já se acostumaram a apontar o celular e seguir adiante sem pensar duas vezes. Os criminosos entendem esse comportamento e passaram a explorar justamente essa confiança. O golpe continua sendo o phishing de sempre, mas com uma embalagem muito mais convincente", explica Jonathan Ramos, pesquisador de segurança da ESET no Brasil.

Para reduzir os riscos, a ESET recomenda desconfiar de QR Codes recebidos por e-mail, mensagens de texto ou aplicativos de conversa sem solicitação prévia, especialmente quando envolvem pagamentos, atualização de cadastros ou acesso a contas.

A empresa reforça que, antes de inserir qualquer informação, é importante verificar o endereço da página aberta após o escaneamento e evitar códigos colados sobre placas, cartazes ou equipamentos públicos, que podem ter sido adulterados. O uso de soluções de segurança capazes de identificar links maliciosos também ajuda a bloquear tentativas de fraude antes que elas comprometam dados pessoais ou financeiros.

"Os golpes evoluem conforme os hábitos das pessoas mudam. Hoje, o QR Code faz parte da rotina de milhões de brasileiros, seja para pagar uma compra, acessar um cardápio ou entrar em um evento. A melhor forma de se proteger é manter o mesmo nível de atenção que teríamos ao clicar em um link desconhecido: a tecnologia é segura, mas a confiança excessiva pode ser explorada pelos criminosos", conclui Ramos.