Quishing: golpes com QR code que ameaçam empresas

O que é quishing e por que ele explodiu no ambiente corporativo

Quishing é a combinação de "QR code" com "phishing": um golpe em que criminosos usam QR codes falsos para direcionar vítimas a páginas fraudulentas, quase sempre com o objetivo de roubar credenciais corporativas, dados de pagamento ou instalar malware. O ataque explora um comportamento que se tornou automático depois da pandemia — apontar a câmera do celular para um código sem pensar duas vezes. Cardápios, estacionamentos, boletos, autenticação em dois fatores: o QR code virou parte da rotina, e é exatamente essa familiaridade que o torna uma arma eficaz.

Para as empresas, o problema é mais grave do que parece. Relatórios de segurança de e-mail apontam crescimento expressivo de campanhas de quishing desde 2023, com foco claro em contas Microsoft 365 e Google Workspace. O motivo é simples: uma única credencial corporativa comprometida abre caminho para fraude financeira, sequestro de caixa de e-mail, movimentação lateral na rede e, em muitos casos, ransomware. O QR code é apenas a porta de entrada — o alvo real é o acesso ao ambiente da empresa.

Outro fator que impulsiona o quishing é o custo baixíssimo para o atacante. Gerar um QR code leva segundos, não exige conhecimento técnico avançado e pode ser embutido em e-mails, PDFs, etiquetas adesivas e até cartazes físicos. A barreira de entrada caiu, e o volume de ataques acompanhou.

Anatomia do golpe: como o quishing funciona na prática

A variante mais comum chega por e-mail. A vítima recebe uma mensagem que imita comunicados legítimos — "sua senha expira hoje", "você tem um documento pendente de assinatura", "reative seu MFA" — e, em vez de um link clicável, o e-mail traz um QR code com a instrução de escaneá-lo com o celular. Ao escanear, o colaborador cai em uma página de login falsa, visualmente idêntica à tela da Microsoft ou do Google, e entrega usuário e senha diretamente ao atacante.

Versões mais sofisticadas usam kits de phishing do tipo adversary-in-the-middle (AiTM), que funcionam como um espelho da página verdadeira: a vítima digita a senha e até aprova o MFA no aplicativo, sem perceber que a sessão está sendo interceptada. O atacante captura o cookie de sessão autenticado e passa a acessar a conta mesmo com autenticação em dois fatores ativada. Ou seja, o quishing moderno consegue contornar inclusive o MFA tradicional baseado em aprovação por push ou código numérico.

O golpe também acontece fora do e-mail. Casos documentados incluem:

• Adesivos sobrepostos em QR codes legítimos de estacionamentos, totens de pagamento e mesas de restaurante, redirecionando para páginas de pagamento falsas;
• Boletos e faturas falsas enviados por e-mail ou WhatsApp com QR code Pix apontando para contas de laranjas;
• Cartazes e panfletos em áreas comuns de escritórios e condomínios comerciais, prometendo Wi-Fi gratuito ou promoções;
• Documentos PDF anexados com QR code embutido, simulando propostas comerciais ou notas fiscais.

Por que o QR code burla os filtros de segurança de e-mail

Filtros de e-mail tradicionais foram desenhados para analisar texto e links: eles verificam a reputação da URL, seguem redirecionamentos, comparam domínios com listas de bloqueio e inspecionam anexos executáveis. O QR code quebra essa lógica porque a URL maliciosa não existe como link no corpo da mensagem — ela está codificada dentro de uma imagem. Para o filtro, o e-mail contém apenas texto inofensivo e uma figura, o que reduz drasticamente a chance de bloqueio.

Há um segundo efeito ainda mais perigoso: a mudança de dispositivo. Quando o colaborador escaneia o código com o celular pessoal, a navegação sai do perímetro protegido da empresa. O notebook corporativo pode ter proxy, filtro de DNS, EDR e políticas de navegação — mas o smartphone pessoal, conectado à rede 4G ou 5G, normalmente não tem nada disso. O atacante transfere a vítima do ambiente monitorado para um ambiente sem defesas, no exato momento em que ela vai digitar a senha corporativa.

Ferramentas mais modernas de segurança de e-mail já fazem decodificação de QR codes em imagens e análise da URL resultante, mas a adoção ainda é desigual, e os atacantes reagem rápido: usam QR codes montados com caracteres ASCII, imagens fragmentadas em tabelas HTML e redirecionadores legítimos (encurtadores, serviços de nuvem conhecidos) para dificultar a detecção. A tecnologia ajuda, mas não elimina a necessidade de uma equipe treinada.

Sinais de alerta: como identificar um QR code malicioso

Nenhum sinal isolado é prova definitiva de golpe, mas a combinação de dois ou três indícios abaixo deve acender o alerta imediatamente. Vale treinar a equipe para reconhecê-los:

• Urgência artificial: "sua conta será bloqueada em 24 horas", "senha expira hoje", "pagamento pendente". Pressão de tempo é a ferramenta clássica da engenharia social;
• QR code onde deveria haver um link: comunicados internos legítimos de TI raramente pedem que você escaneie um código com o celular para redefinir senha;
• Remetente estranho ou levemente alterado: domínios com letras trocadas, subdomínios longos ou remetentes externos se passando por internos;
• URL de destino suspeita após o escaneamento: a maioria dos leitores de câmera mostra o endereço antes de abrir. Domínios que não são microsoft.com, login.microsoftonline.com ou o domínio oficial da empresa são motivo para parar;
• Pedido de login inesperado: se você já estava autenticado no serviço e a página pede senha de novo, desconfie;
• QR code físico com adesivo: bordas sobrepostas, código colado sobre outro ou material diferente do restante da peça indicam adulteração.

Regra prática para repassar à equipe: QR code recebido por e-mail pedindo login ou pagamento é culpado até prova em contrário. Na dúvida, digite o endereço oficial do serviço manualmente no navegador — nunca pelo código.

Também vale orientar que ninguém aprove notificações de MFA que não tenha solicitado. Se o aplicativo autenticador pedir aprovação sem que o colaborador esteja fazendo login, é sinal de que a senha já vazou — e o incidente deve ser reportado na hora.

Como proteger sua empresa: treinamento e controles técnicos

A defesa contra quishing eficaz combina pessoas, processo e tecnologia. Do lado humano, o treinamento de conscientização precisa ser atualizado para incluir QR codes explicitamente — muitos programas de simulação de phishing ainda testam apenas links clicáveis, deixando um ponto cego enorme. Simulações periódicas com QR codes em e-mails de teste mostram, na prática, quem escaneia sem verificar, e transformam o erro em aprendizado antes que ele custe caro.

Do lado técnico, algumas medidas reduzem drasticamente o risco:

1. Segurança de e-mail com análise de imagem: adotar solução que decodifique QR codes em mensagens e anexos e verifique a reputação da URL de destino;
2. MFA resistente a phishing: migrar de códigos por SMS e aprovações por push para métodos como chaves FIDO2/passkeys, que não funcionam em páginas falsas;
3. Acesso condicional: restringir logins a dispositivos gerenciados ou em conformidade, bloqueando sessões vindas de aparelhos desconhecidos mesmo com credenciais válidas;
4. Filtro de DNS também no mobile: estender proteção de navegação aos celulares corporativos via MDM, fechando a brecha do "escaneou no celular, saiu do perímetro";
5. Monitoramento de sessões e revogação rápida: detectar logins anômalos (país, horário, dispositivo) e ter processo pronto para revogar tokens de sessão comprometidos;
6. Canal fácil de denúncia: botão de reportar phishing no cliente de e-mail e cultura de "reportou, acertou" — sem punir quem caiu, para que os incidentes venham à tona rápido.

Processos financeiros merecem atenção à parte: pagamentos via QR code Pix ou boleto devem passar por dupla verificação fora do e-mail (confirmação por telefone com o fornecedor, validação do favorecido antes de aprovar). Fraude de pagamento por QR code adulterado é hoje uma das variantes que mais causa prejuízo direto em pequenas e médias empresas.

Conte com um parceiro de TI para blindar sua operação

Quishing não é uma moda passageira — é a evolução natural do phishing diante de filtros de e-mail cada vez melhores. E a resposta não é uma ferramenta única, mas uma camada coordenada de proteção de e-mail, identidade, dispositivos e treinamento contínuo da equipe. Montar e manter essa estrutura internamente é caro e complexo, especialmente para empresas cujo foco está no próprio negócio, não em segurança da informação.

É nesse ponto que a Duk Informática & Cloud atua como parceiro de TI. Com mais de 18 anos de experiência e mais de 550 empresas atendidas, a Duk implementa proteção de e-mail com análise avançada de ameaças, MFA resistente a phishing no Microsoft 365 — área em que atua como Microsoft Gold Partner —, gerenciamento de dispositivos móveis e programas de conscientização com simulações realistas de phishing e quishing. Tudo com suporte 24/7 e SLA definido, a partir de data center próprio em Alphaville.

Se sua empresa ainda não testou como a equipe reage a um QR code malicioso, esse é o melhor momento para descobrir — em uma simulação controlada, e não em um incidente real. Fale com a Duk e fortaleça a primeira linha de defesa do seu negócio: as pessoas.