Golpes com QR Code crescem e já aparecem em 11% dos e-mails de phishing, alerta ESET

Escanear um QR Code virou um gesto automático para milhões de brasileiros — justamente por isso, ele está se tornando um dos principais recursos explorados por criminosos em campanhas de phishing.

Segundo o Relatório de ameaças da ESET 1º semestre de 2026aproximadamente 11% dos e-mails de phishing detectados pela empresa já usam QR Codes. O volume corresponde a cerca de 100 mil detecções mensaiscom o maior registro observado em abril, indicando que essa modalidade de ataque ganhou espaço nas campanhas de fraude digital.

A estratégia, conhecida como desistindo (junção de Código QR e phishing), substitui os links tradicionais por códigos que ocultam o endereço de destino até serem escaneados. Como boa parte dessas interações ocorre pelo smartphone, o usuário costuma seguir rapidamente para a página aberta, muitas vezes sem conferir se o domínio realmente pertence ao serviço esperado.

No Brasil, esse cenário ganha relevância porque o QR Code já faz parte da rotina. O recurso é amplamente utilizado para pagamentos via Pix, acesso a cardápios digitais, confirmação de presença em eventos e diversas outras atividades cotidianas. Esse hábito reduz a desconfiança diante de códigos aparentemente legítimos, facilitando a ação dos golpistas.

“O QR Code transmite uma sensação de legitimidade porque faz parte da nossa rotina. As pessoas já se acostumaram a apontar o celular e seguir adiante sem pensar duas vezes. Os criminosos entendem esse comportamento e passaram a explorar justamente essa confiança. O golpe continua sendo o phishing de sempre, mas com uma embalagem muito mais convincente”, afirma Jonathan Ramos, pesquisador de segurança da ESET no Brasil.

Um dado citado pela empresa reforça essa popularização: segundo pesquisa da CNDL e do SPC Brasil, 86% dos consumidores brasileiros já realizaram pagamentos utilizando QR Codeprincipalmente por meio do Pix. Quanto mais comum se torna o uso dessa tecnologia, maior tende a ser a efetividade de golpes que exploram a familiaridade do usuário com esse tipo de interação.

Como reduzir os riscos

A ESET recomenda tratar QR Codes com o mesmo nível de cautela dedicado a links enviados por desconhecidos.

Entre as orientações estão:

• desconfiar de QR Codes recebidos por e-mail, SMS ou aplicativos de mensagens sem solicitação prévia;
• verificar o endereço do site aberto após o escaneamento antes de inserir qualquer dado;
• evitar utilizar QR Codes colados sobre placas, totens, máquinas ou cartazes públicos, pois eles podem ter sido adulterados;
• utilizar soluções de segurança capazes de identificar páginas e links maliciosos antes que informações pessoais ou financeiras sejam comprometidas.

Segundo Jonathan Ramos, a mudança está menos na técnica utilizada pelos criminosos e mais na adaptação aos hábitos dos usuários.

“Os golpes evoluem conforme os hábitos das pessoas mudam. Hoje, o QR Code faz parte da rotina de milhões de brasileiros, seja para pagar uma compra, acessar um cardápio ou entrar em um evento. A melhor forma de se proteger é manter o mesmo nível de atenção que teríamos ao clicar em um link desconhecido: a tecnologia é segura, mas a confiança excessiva pode ser explorada pelos criminosos.”

Embora o QR Code seja apenas um meio de acesso, a facilidade de uso e a confiança adquirida pelos consumidores tornam esse formato um alvo cada vez mais atraente para campanhas de engenharia social.