1. O Que É o QR Code e Como Funciona a Tecnologia (ISO/IEC 18004)?
Padronizado internacionalmente sob a norma ISO/IEC 18004, o QR Code é um código de barras bidimensional (2D) composto por uma matriz quadrada de módulos escuros e claros.
A sua leitura é orientada por três quadrados concêntricos localizados nos cantos superiores e no canto inferior esquerdo (padrões de posicionamento), permitindo que a câmera do smartphone identifique a angulação e decodifique o payload textual em frações de segundo.
O algoritmo matemático Reed-Solomon permite restaurar dados mesmo se o código sofrer danos físicos, sujeira ou rasgos parciais. São 4 níveis de tolerância: L (7%), M (15%), Q (25%) e H (até 30% de recuperação).
Um código padrão suporta até 7.089 caracteres numéricos ou 4.296 caracteres alfanuméricos. Isso viabiliza o armazenamento direto de URLs completas, credenciais de redes Wi-Fi e strings de pagamento Pix no padrão EMVCo.
2. O Que É Quishing e Quais São os Principais Golpes?
Como seres humanos não conseguem ler visualmente o conteúdo criptografado dentro de um QR Code antes da decodificação pela câmera, golpistas exploram essa "cegueira óptica" por meio de técnicas específicas:
Ataque de Quishing (QR Phishing)
Criminosos enviam e-mails corporativos fingindo ser de áreas de TI, bancos ou recursos humanos, solicitando a leitura de um QR Code anexo para autenticação de dois fatores ou redefinição de acesso. O objetivo é contornar filtros antispam tradicionais de servidores corporativos, já que o link malicioso está embutido em uma imagem, e não em texto no corpo da mensagem.
Adulteração Física com Adesivos (Sticker Tampering)
Em estabelecimentos físicos, estacionamentos públicos e mesas de restaurantes, fraudadores colam etiquetas adesivas impressas por cima do QR Code legítimo do local. O cliente escaneia o código acreditando estar no cardápio ou no pagamento oficial, mas é direcionado para uma página clonada que rouba dados de cartão ou desvia o pagamento Pix para outra conta.
Adulteração de Payload Pix
A troca do código impresso em totens de autoatendimento ou balcões substitui a chave do lojista pela chave Pix de laranjas. Sem conferir o beneficiário no aplicativo financeiro, a vítima confirma a transferência para o fraudador.
Crie Códigos QR Seguros e Personalizados
Gere códigos estáticos para links, Wi-Fi e textos com nível de correção configurável e processamento local no seu navegador.
3. Checklist Prático de Proteção para o Dia a Dia
Passe o dedo suavemente sobre o QR Code em totens, mesas ou placas de estabelecimentos. Se sentir relevo de adesivo colado por cima de uma impressão de fábrica, alerte imediatamente os responsáveis pelo local.
A maioria das câmeras de smartphone exibe um balão com o domínio de destino antes de carregar o navegador. Desconfie de encurtadores de links opacos (como bit.ly desconhecido) ou de pequenas variações de escrita em domínios oficiais (como l0ja em vez de loja).
Configure o aplicativo da câmera do seu smartphone para sempre solicitar confirmação explícita antes de abrir qualquer página da web identificada em leituras ópticas.
Ao escanear um QR Code para pagamento, o aplicativo bancário sempre apresenta uma tela com o nome completo do beneficiário, a instituição bancária e parte do CPF ou CNPJ. Certifique-se de que o nome corresponde ao estabelecimento comercial antes de autorizar o débito.
4. Boas Práticas ao Gerar QR Codes para Seu Negócio
- Utilize nível de correção de erro adequado: configure ao menos nível M (15%) ou Q (25%) para materiais impressos que sofrerão manuseio contínuo pelo público.
- Insira links com protocolo seguro (HTTPS): utilize sempre URLs completas com certificado digital válido em seu domínio próprio.
- Proteja totens e placas impressas: prefira impressões acrílicas protegidas ou monitores digitais contra a colagem de adesivos adulterados por terceiros.
Fontes Oficiais e Referências Primárias
- Organização Internacional de Normalização (ISO): Norma ISO/IEC 18004 com a especificação técnica de simbologia do código de barras QR Code (iso.org/standard/62021.html).
- CERT.br / NIC.br: Materiais educativos da Cartilha de Segurança para Internet sobre prevenção contra golpes e phishing (cartilha.cert.br/fasciculos).
- CISA: Recomendações de cibersegurança sobre vetores de ataque quishing e engenharia social (cisa.gov).