Quanto mais familiar algo se torna, maior a probabilidade de deixarmos de questioná-lo. Em cibersegurança, esse excesso de confiança pode ser especialmente perigoso. É o caso dos códigos QR, que se tornaram comuns em cardápios, postes de iluminação e parquímetros e, nos últimos anos, também aparecem cada vez mais em e-mails. O desafio é que eles também representam uma excelente forma de ocultar links maliciosos, contornar alguns filtros de segurança corporativos tradicionais e fazer com que a interação passe de um computador corporativo para um celular pessoal, que costuma ter menos controles de segurança.
Os cibercriminosos continuarão experimentando e inovando com novas formas de evitar a detecção e com novas técnicas de quishing para enganar funcionários desavisados. Veja o que você precisa saber para manter sua organização segura.
Por que o quishing é tão perigoso?
Abreviação de Quick Response (resposta rápida), um código QR é um código de barras bidimensional capaz de armazenar URLs, dados de pagamento, informações de contato e outros dados, permitindo que os usuários acessem rapidamente um site, aplicativo ou outro recurso digital. Eles são interessantes para os cibercriminosos por vários motivos. Seu uso generalizado, impulsionado pela demanda por interações sem contato durante a pandemia, fez com que escaneá-los se tornasse parte da rotina. Isso significa que hoje é mais provável que peguemos o celular para escanear um código QR do que alguns anos atrás.
Além disso, eles são facilmente incorporados a campanhas de phishing: basta substituir o link ou arquivo anexado malicioso por um código QR. E eles podem ser gerados em segundos. Na verdade, muitos kits de phishing incluem um gerador de códigos QR próprio. O mais importante é que eles levam a vítima de um ambiente corporativo relativamente bem protegido para um dispositivo móvel potencialmente não gerenciado, contornando assim os controles de segurança corporativos.
Uma das principais vantagens para o cibercriminoso é a capacidade de ocultar o destino do link. O destino é codificado em um padrão visual e não aparece como texto legível, o que esconde as URLs maliciosas e impede que alguns filtros tradicionais de e-mail consigam extraí-las e analisá-las. Em alguns casos, elas ficam ainda mais ocultas quando são incorporadas a arquivos anexados em PDF ou JPEG. Isso aumenta as chances de que cheguem às caixas de entrada dos funcionários. E, quando isso acontece, os colaboradores podem ter dificuldade para distinguir uma mensagem legítima de uma maliciosa. Normalmente, há pouco texto para analisar em busca de erros ortográficos ou gramaticais. E, como o link está codificado em um padrão visual, ele é invisível ao olho humano.
Quando usados em conjunto com uma marca de confiança, como em um e-mail da DocuSign ou uma atualização da Microsoft, os ataques de quishing exploram as mesmas táticas de engenharia social das campanhas clássicas de phishing. O uso de uma marca de confiança faz com que a vítima perceba a mensagem como legítima. Além disso, geralmente é criada uma sensação de urgência por meio de algum pretexto. Códigos QR maliciosos costumam aparecer em alertas que orientam os usuários a proteger sua conta ou fazer uma autenticação para confirmar seus dados.
De fato, segundo o ESET Threat Report H1 2026, códigos QR maliciosos estavam presentes em nada menos que 11% de todos os e-mails de phishing detectados durante a primeira metade de 2026. “A ESET monitora os e-mails de quishing sob a detecção QRCode/Phishing. Essa detecção funciona por meio de uma camada dedicada do mecanismo de análise de e-mails da ESET, projetada para identificar códigos QR na grande maioria dos tipos de arquivo e decodificar as URLs que eles contêm. As URLs extraídas são analisadas pelos mecanismos antiphishing, antimalware e antispam da ESET; qualquer URL maliciosa é bloqueada e os e-mails associados são sinalizados ou excluídos”, destaca o relatório.
Os cibercriminosos continuam inovando
Como acontece com qualquer tendência no cenário de ameaças, os cibercriminosos continuam aperfeiçoando suas táticas para maximizar o impacto. Os ataques de quishing são utilizados não apenas para instalar malware e roubar credenciais, mas também para roubar tokens de autenticação multifator (MFA). Pesquisadores de segurança também observaram seu uso em ataques projetados para:
- Contornar os controles de segurança das lojas de aplicativos por meio de downloads diretos, nos quais o malware é apresentado como um aplicativo legítimo.
- Levar o usuário não a um site malicioso ou de phishing, mas diretamente a um aplicativo legítimo de redes sociais, pagamentos ou outros serviços. Isso pode ser utilizado em diferentes cenários, como:
- Sequestro de contas, no qual a vítima é induzida a autenticar o cibercriminoso em sua própria conta.
- Fraude financeira, na qual a vítima é direcionada a um aplicativo de pagamentos com os dados do beneficiário já preenchidos.
- Envenenamento de contatos ou calendários, no qual links maliciosos para reuniões ou novos dados de contato são inseridos em aplicativos utilitários e redirecionam para sites de phishing quando clicados.
- Conectar automaticamente a vítima a uma rede Wi-Fi maliciosa controlada por um cibercriminoso por meio de um ponto de acesso fraudulento.
- Contornar ferramentas de segurança utilizando encurtadores de URLs para códigos QR, que transformam endereços da web longos e maliciosos em links menores para depois incorporá-los aos códigos QR.
Até mesmo grupos APT patrocinados por Estados estão utilizando o quishing como parte de seu arsenal. Um alerta do FBI publicado em janeiro de 2026 advertiu que o grupo norte-coreano Kimsuky havia atacado centros de pesquisa, instituições acadêmicas e órgãos governamentais dos Estados Unidos e de outros países por meio de e-mails de spearphishing contendo códigos QR incorporados. Os pretextos utilizados eram variados. Os e-mails afirmavam, dependendo do caso, que a leitura do código levaria os usuários a questionários, páginas de cadastro ou unidades de armazenamento seguras.
Como proteger sua empresa contra o phishing com códigos QR
Felizmente, uma combinação equilibrada de treinamento, processos e tecnologia pode ajudar a reduzir significativamente o risco de quishing para sua organização.
Comece pelas pessoas. Inclua o quishing nos programas de conscientização em segurança e nos exercícios de simulação. Oriente os funcionários a evitar a leitura de códigos QR presentes em e-mails não solicitados e a denunciar qualquer mensagem suspeita. Se acreditarem que a mensagem veio de uma fonte confiável, devem verificar diretamente com o remetente, utilizando dados de contato obtidos por outro meio que não seja o e-mail recebido.
Em seguida, considere os controles técnicos, incluindo uma solução de segurança de e-mail de um fornecedor confiável para minimizar o risco de que mensagens de quishing cheguem às caixas de entrada. Inclua também uma solução de segurança móvel nos dispositivos dos funcionários para bloquear o acesso a sites maliciosos e outras ameaças. Da mesma forma, exija autenticação multifator resistente a phishing (phishing-resistant MFA) para todas as contas sensíveis, de modo que, mesmo que os usuários sejam enganados, os cibercriminosos não consigam obter acesso aos sistemas corporativos. As ferramentas de gerenciamento de dispositivos móveis (MDM) podem ajudar a garantir que todos os dispositivos estejam protegidos de acordo com as políticas da empresa.
Reduza a superfície de ataque, aplique o princípio do menor privilégio e o acesso just in time. Mantenha atualizados todos os sistemas operacionais móveis e softwares corporativos, incluindo as ferramentas de segurança. Além disso, realize monitoramento contínuo para detectar atividades suspeitas e teste os planos de resposta a incidentes para estar preparado para o pior cenário.
Uma novidade que já não é novidade
Os códigos QR deixaram de ser uma novidade e se tornaram uma ferramenta comum nos ambientes corporativos. O mesmo aconteceu com o quishing. A familiaridade não precisa levar ao excesso de confiança. Assim como os funcionários aprenderam a desconfiar do phishing tradicional por e-mail e SMS, eles também podem ser capacitados para identificar os sinais de alerta de uma possível tentativa de quishing. Quando combinada com treinamento e conscientização, a familiaridade também pode contribuir para fortalecer a segurança.
