Resposta curta
Um QR code é só um link que você não consegue ler. Golpistas colam códigos falsos por cima dos verdadeiros — a FTC cita parquímetros — ou mandam por e-mail, SMS ou carta com uma desculpa: entrega que falhou, problema na conta, troca de senha obrigatória. O código abre uma página de login ou pagamento que imita a real, ou um download. Antes de abrir, confira o endereço que a câmera mostra; não escaneie códigos de mensagens inesperadas; e pague pelo app ou site oficial. Se digitou uma senha, troque-a a partir de um aparelho limpo e saia das outras sessões; se informou dados do cartão, ligue para o banco.
Onde aparecem QR codes falsos
- Adesivos por cima do código verdadeiro em parquímetros, carregadores, mesas de restaurante ou cartazes.
- E-mails dizendo que sua conta será bloqueada se você não “reverificar” escaneando — um código é mais difícil de checar pelos filtros de e-mail do que um link, e leva você para o celular.
- SMS e cartas sobre encomenda, multa ou reembolso.
- Falsas mensagens de “suporte” nas redes sociais pedindo para escanear um código para verificar ou desbloquear a conta.
Confira o código antes de abrir
- Leia a prévia do endereço antes de tocar. Procure erros ou letras trocadas que imitam um site conhecido — é a primeira dica da FTC.
- Em parquímetros ou cartazes, procure um adesivo sobre o código original ou outros sinais de adulteração.
- Não escaneie código de e-mail ou SMS que você não esperava, principalmente se apressar você. Fale com a empresa por um site ou número que você sabe que é verdadeiro.
- Para pagar ou entrar, prefira o app oficial ou digite você mesmo o endereço.
- Nunca digite senha ou código de verificação numa página aberta por um código inesperado.
Se você já escaneou
| O que aconteceu | Faça isto agora |
|---|---|
| Só abriu a página | Feche sem digitar nada e mantenha o celular atualizado |
| Digitou uma senha | Troque a partir de um aparelho limpo (primeiro o e-mail), saia das outras sessões e ative a 2FA |
| Informou dados do cartão ou do banco | Ligue para o banco no número do cartão, bloqueie-o e conteste a cobrança |
| Instalou um app ou arquivo | Desinstale, atualize e faça varredura no celular, depois troque as senhas por outro aparelho |
| Passou um código de verificação | Considere a conta invadida e use o caminho oficial de recuperação |
Proteja o celular e as contas
- Mantenha o sistema do celular atualizado, como recomenda a FTC.
- Use senhas fortes e autenticação multifator — de preferência uma chave de acesso, que não pode ser digitada numa página falsa.
- Um gerenciador de senhas não preenche num site que imita o verdadeiro — isso por si só já é um alerta.
- Depois de qualquer deslize, confira onde você está conectado: dispositivos conectados.
Denuncie
Avise o responsável pelo parquímetro, estacionamento ou loja sobre o adesivo falso e denuncie a mensagem ao seu provedor de e-mail ou ao serviço nacional — veja como denunciar phishing. Se houve prejuízo, registre boletim de ocorrência; para outros países, veja onde denunciar fraude online.
Perguntas frequentes
Escanear um QR code pode invadir meu celular?
Escanear só lê um link. O perigo está no que vem depois: digitar dados numa página falsa ou instalar algo. A FTC lembra que um código também pode levar a malware; mantenha o celular atualizado e não instale apps a partir de links.
Como saber se um QR code é falso?
Confira a prévia do endereço antes de abrir, procure adesivos sobre o código original e desconfie de códigos em e-mails ou SMS inesperados que pedem pressa.
O que é quishing?
Phishing com QR code: usar um QR code no lugar de um link clicável para levar a pessoa a uma página falsa de login ou pagamento.
Paguei o estacionamento por um QR code falso. E agora?
Ligue imediatamente para o banco ou a operadora do cartão para bloqueá-lo e contestar a cobrança; depois informe o código ao estacionamento e registre ocorrência.
Fontes: FTC — golpistas escondem links perigosos em QR codes, FTC — como reconhecer e evitar golpes de phishing, NCSC — denunciar e-mails, mensagens e sites golpistas, FTC — ReportFraud.ftc.gov