Golpes com QR code: o que olhar antes de escanear
Publicado em
Um QR code nada mais é que um texto codificado num desenho. Essa simplicidade é a virtude dele e também o motivo de ter virado uma ferramenta cômoda para golpes: ninguém consegue ver para onde um código leva até já ter escaneado.
O nome técnico dessa modalidade é quishing, uma mistura de QR com phishing. A mecânica é a de sempre, levar a vítima a um site falso para que entregue dados ou dinheiro, com a diferença de que o link viaja escondido dentro de um quadrado.
Os três formatos mais frequentes
O primeiro e mais difundido é o adesivo sobreposto. Alguém cola um código próprio em cima do código legítimo de um parquímetro, um estacionamento, um carregador de carro elétrico ou o cartaz de pagamento de um comércio. A vítima paga acreditando que paga ao negócio e o dinheiro vai para outra conta. É barato de executar, não exige nenhuma habilidade técnica e já aconteceu em dezenas de cidades.
O segundo é o papel deixado de propósito no lugar errado: uma suposta multa no para-brisa, um aviso de encomenda não entregue na porta, uma pesquisa com prêmio na mesa de um bar. O código leva a uma página que imita a instituição real e pede dados do cartão.
O terceiro é o e-mail com um QR code no lugar de um link. Essa variante cresceu porque resolve um problema do atacante: os filtros de segurança das empresas analisam os links de um e-mail, mas um QR code é uma imagem e muitos filtros não olham. Além disso obriga a vítima a sair do computador da empresa e ir para o celular pessoal, que quase nunca tem as mesmas proteções.
Por que funciona melhor que um link falso
Com um link de texto, qualquer um pode passar o cursor por cima e ver para onde leva antes de clicar. Com um QR code isso é impossível: o destino só é conhecido depois de escanear.
Some-se a isso o contexto físico. Um código colado num parquímetro parece parte do parquímetro. Um adesivo num cartaz oficial herda a credibilidade do cartaz. A vítima não está avaliando um link suspeito na caixa de entrada, está na rua resolvendo algo com pressa.
E há um fator de tela: no celular a barra de endereços é curta e mostra apenas parte do domínio. Um endereço longo e bem construído pode parecer legítimo no celular mesmo quando o engano seria evidente numa tela grande.
O que olhar, em ordem
Antes de escanear, olhe o código fisicamente. Se é um adesivo colado sobre outra coisa, se as bordas estão soltas, se o papel não combina com o resto do cartaz ou se cobre parcialmente um texto impresso, não escaneie. Códigos legítimos costumam ser impressos junto com o design, não colados por cima.
Depois de escanear e antes de abrir, leia o endereço completo que o celular mostra. A parte que importa é a que está logo antes da primeira barra: ali está o domínio real. Um domínio parecido mas não idêntico ao da marca, com hifens a mais, com uma letra trocada ou com a marca aparecendo como subdomínio de outro site, é o sinal mais claro de fraude.
Desconfie dos encurtadores. Um código que leva a um endereço curto de um serviço de encurtamento esconde o destino final e, embora haja usos legítimos, num cartaz de pagamento não há razão nenhuma para usar.
E a regra que resolve quase tudo: nunca digite dados de cartão, senhas ou códigos de verificação numa página à qual você chegou escaneando um código que não esperava. Se o aviso parece real, entre no site daquela empresa digitando o endereço à mão, ou ligue para o telefone que consta na sua fatura.
Do outro lado: proteger os seus próprios códigos
Se você tem um negócio com QR codes à vista, você é um alvo. A defesa mais eficaz é a mais chata: conferir fisicamente os códigos com frequência para ver que não há nada colado por cima, principalmente os que ficam sem vigilância.
Depois, dificultar a colagem. Um código plastificado, sob acrílico ou impresso direto numa superfície irregular é bem menos cômodo de tapar que uma folha colada com fita.
E uma medida que serve para tudo: colocar o nome do negócio bem visível ao lado do código. Se o cliente escaneia e a tela mostra outro nome, ele vai parar. Sem essa referência, não tem com o que comparar.