Está a estacionar no centro da cidade. O parquímetro exibe um autocolante limpo, bem centrado, com um logótipo municipal credível e aquela menção que se tornou banal: «Pague o seu estacionamento sem moedas — faça a leitura». Tira o telemóvel do bolso, lê o código, abre-se um formulário, introduz a matrícula e o cartão bancário. Trinta segundos, nenhuma aplicação para instalar. É exatamente o gesto que as cidades o incentivam a fazer há anos.
Só que o autocolante foi colado na noite anterior por cima do verdadeiro.
Nenhum link visível, nenhum erro ortográfico, nenhum tom alarmista. O quishing — contração de QR code e phishing — nada tem a ver com o SMS ameaçador ao qual aprendemos a resistir. Não o pressiona: presta-lhe um serviço. E quem se sente ajudado não se sente em perigo.
Porque é que o QR code se tornou o ângulo morto da vigilância
Há dez anos que toda a educação do público contra o phishing assenta numa única competência: ler um endereço. Detetar o hífen a mais, o .xyz em vez do .pt, o nome do banco seguido de uma palavra parasita. A Cybermalveillance.gouv.fr, a ANSSI ou os serviços bancários repetem o mesmo conselho há anos: verifique o link antes de clicar.
O QR code anula essa competência de uma só vez. Um quadrado de píxeis pretos não diz nada. Não se sobrevoa, não se lê, não se compara. Faz-se a leitura — ou seja, confia-se nele por antecipação.
Três fatores agravam a situação:
- A banalização pós-2020. Ementas de restaurantes, bilheteiras, postos de carregamento, manuais de montagem de móveis, etiquetas de produtos: o gesto de ler um código tornou-se um reflexo, sem a mais pequena suspeita associada.
- A rutura de contexto. O SMS fraudulento chega dentro de um fluxo (as suas mensagens) onde outras mensagens servem de referência. O QR code, esse, é físico: pede emprestada a credibilidade do suporte onde está colado. Um autocolante em mobiliário urbano oficial parece oficial.
- A mudança de ecrã. Muitas vezes lê o código exposto num suporte exterior com o telemóvel esticado à frente, em plena luz, com pressa. É o pior contexto possível para ler com atenção uma barra de endereço truncada.
O smishing clássico não desapareceu — as vagas de falsos SMS bancários ou administrativos noticiadas nos últimos meses pela imprensa regional demonstram-no. Mas o QR code oferece aos burlões algo que o SMS já não lhes dá: a ausência total de filtro. Nenhum operador consegue analisar um autocolante.
Onde se encontram concretamente
As denúncias que chegam às associações de consumidores e às autarquias desenham uma geografia bastante estável.
| Suporte manipulado | Pretexto apresentado | O que o burlão recolhe |
|---|---|---|
| Parquímetro, parque subterrâneo | Pagamento do estacionamento | Cartão bancário, matrícula, identidade |
| Posto de carregamento elétrico | Início da sessão de carregamento | Cartão bancário, criação de conta |
| Bicicletas e trotinetes de partilha | Desbloqueio rápido do veículo | Dados bancários |
| Cartaz de boleias / anúncio classificado | Contacto do vendedor | Credenciais de uma plataforma |
| Carta em papel «oficial» | Regularização de um processo, reembolso | Dados pessoais completos |
| Encomenda recebida com um folheto «oferta» | Avaliação em troca de um vale de compras | Conta de loja online, subscrição escondida |
| Esplanada de café, mesa de restaurante | Ementa ou pagamento da conta | Cartão bancário |
Duas variantes merecem atenção especial.
A falsa carta administrativa. Receber uma carta em papel continua a ser, para muita gente, sinónimo de seriedade. Campanhas que imitam organismos públicos — segurança social, caixas de reforma, autoridade tributária — substituem agora o endereço web por um QR code, precisamente porque um QR code se falsifica mais facilmente do que um site institucional se verifica. Recorde-se o princípio lembrado pela Ameli: a Segurança Social nunca pede dados bancários por mensagem ou por carta não solicitada para «desbloquear» um reembolso.
O «brushing» com folheto. Recebe uma pequena encomenda que não encomendou, com um cartão a propor uma oferta em troca de uma avaliação. O QR code leva a um formulário que recolhe muito mais do que o necessário.
O que acontece realmente depois da leitura
Ao contrário de uma ideia feita persistente, ler um QR code não «pirateia» um telemóvel. O código contém apenas um dado: na maioria das vezes um endereço web, por vezes um número para ligar, uma rede Wi-Fi, um texto ou uma ordem de pagamento. O perigo vem daquilo que faz a seguir.
Dominam três cenários:
- A página de recolha. Uma cópia muito fiel de um site de pagamento. Introduz o seu cartão e ele vai diretamente para o burlão — ou, mais perverso ainda, serve para validar uma subscrição recorrente de alguns euros por semana, um valor propositadamente baixo para passar abaixo do seu limiar de atenção no extrato.
- O desencadear de uma chamada. O código contém um número de valor acrescentado; o aparelho propõe ligar, e basta um segundo de distração. É a mecânica do wangiri transposta para o suporte físico.
- A instalação fora da loja oficial. Uma página convida-o a instalar uma «aplicação de estacionamento» através de um ficheiro descarregado diretamente. No Android, aceitar uma instalação a partir de uma fonte desconhecida abre a porta a software capaz de intercetar os seus SMS — ou seja, os seus códigos de validação bancária.
O terceiro caso é o mais grave, porque transforma um roubo pontual num acesso duradouro. É também o único que exige várias confirmações explícitas da sua parte: outros tantos momentos em que ainda pode dizer não.
Uma regra simples a reter: um QR code legítimo nunca lhe pede que instale seja o que for fora da App Store ou da Play Store. Nunca.
Os seis reflexos que bastam para escapar
1. Tocar antes de ler
O gesto mais eficaz não custa nada: passe o dedo pelo QR code. Um autocolante colado por cima sente-se — bordo ligeiramente descolado, espessura, brilho diferente do suporte, ângulo mal alinhado, logótipo pixelizado. Num parquímetro ou num posto de carregamento, veja também se o código tapa parcialmente alguma informação (número de série, menção legal). Um operador oficial nunca esconde as suas próprias inscrições.
2. Ler o endereço antes de abrir
Todos os telemóveis recentes mostram o URL em pré-visualização antes de abrir a página. Dedique-lhe os dois segundos necessários. O que conta é a palavra imediatamente antes da primeira /: é o domínio verdadeiro. pagamento.cidade-de-lisboa.pt/estacionamento é plausível; cidade-de-lisboa.pagamento-seguro-pt.co/estacionamento não é de todo, mesmo que comece bem.
Se tem dificuldade em ler o ecrã no exterior, em pleno sol ou com óculos progressivos, isso não é um pormenor de conforto: é um fator de risco. Uma película antirreflexo para smartphone melhora bastante a legibilidade em plena luz e, indiretamente, a sua capacidade de verificar um endereço antes de clicar.
3. Recusar o atalho quando existe alternativa
Há quase sempre um caminho impossível de manipular:
- para o estacionamento, a aplicação oficial da cidade instalada a partir da loja de aplicações, ou simplesmente as moedas e o cartão inserido no parquímetro;
- para um organismo público, a introdução manual do endereço conhecido (ameli.fr, impots.gouv.fr, agirc-arrco.fr) no navegador;
- para um banco, a aplicação já instalada, nunca um link recebido.
O princípio é sempre o mesmo: nunca siga um caminho que lhe estenderam; use aquele que já conhece.
4. Isolar o pagamento
Muitas fraudes com QR code não rendem nada porque o cartão usado está vazio. É esse o papel dos cartões virtuais de utilização única propostos pela maioria dos bancos, ou de um cartão pré-pago recarregável reservado aos pagamentos no terreno — estacionamento, carregamento, compras em mobilidade. O plafond limita mecanicamente os estragos, e uma subscrição escondida não pode cobrar aquilo que não existe.
5. Bloquear o aparelho a montante
Duas configurações, de uma vez por todas:
- no Android, deixar desativada a autorização de instalar aplicações a partir de fontes desconhecidas (Definições → Aplicações → Acesso especial);
- tanto no iPhone como no Android, ativar a proteção contra sites fraudulentos nas definições do navegador.
Para quem manuseia o telemóvel na rua, muitas vezes com as mãos ocupadas, uma capa com porta-cartões integrado evita ter de tirar ao mesmo tempo o telemóvel e a carteira num passeio — o contexto típico em que se lê um código depressa e mal.
6. Denunciar, sistematicamente
Um autocolante fraudulento fica no sítio enquanto ninguém o retirar. Três gestos úteis:
- descolar o falso QR code se for visivelmente um acrescento, ou fotografá-lo;
- avisar o responsável: câmara municipal, serviço de estacionamento, operador do posto de carregamento, gerente do estabelecimento;
- denunciar a página na plataforma Cybermalveillance.gouv.fr, e o SMS associado ao 33700 quando uma mensagem precedeu ou se seguiu à leitura.
Caso tenha efetuado um pagamento, cancele o cartão de imediato e apresente queixa. A diretiva europeia dos serviços de pagamento (DSP2), transposta para o direito nacional, regula o reembolso das operações não autorizadas: o seu banco deve reembolsar uma operação que não autorizou, salvo se demonstrar negligência grave da sua parte. Daí a importância de guardar provas — fotografia do autocolante, captura de ecrã da página, data e hora.
O caso particular dos idosos e dos públicos vulneráveis
O quishing atinge sobretudo quem adotou o smartphone tardiamente. Estas pessoas interiorizaram muitas vezes uma instrução simplificada — «não cliques nos links» — sem que o QR code entre nessa categoria mental. Para muitas, ler um código não é clicar.
Algumas medidas de acompanhamento que funcionam:
- reformular a instrução em termos de destino e não de suporte: «nunca se paga a partir de um código exposto na rua, paga-se a partir de uma aplicação que se instalou»;
- instalar em conjunto as duas ou três aplicações realmente úteis (estacionamento, transportes, banco) para eliminar a necessidade de ler seja que código for;
- aumentar o tamanho da letra e o contraste para tornar legível a pré-visualização do endereço;
- para um familiar muito reticente à tecnologia, assumir uma utilização mínima: um telemóvel sénior com teclas grandes sem navegador fecha a porta à totalidade destes ataques, o que continua a ser uma opção perfeitamente legítima.
Um livro de divulgação sobre cibersegurança, deixado na mesa de apoio, faz muitas vezes mais efeito do que uma explicação oral de dez minutos: a leitura ao ritmo de cada um evita o sentimento de infantilização que bloqueia tantas conversas familiares sobre o tema.
O que distingue um QR code legítimo de uma armadilha
| Sinal | Legítimo | Suspeito |
|---|---|---|
| Suporte | Impresso na própria estrutura, gravado, integrado no mobiliário | Autocolante acrescentado, sobreposto |
| Domínio apresentado | Nome do organismo antes da primeira / | Nome do organismo como subdomínio ou com hífen |
| Pedido | Montante, matrícula, sessão | Cartão + documento de identificação + número fiscal |
| Instalação | Encaminhamento para a App Store / Play Store | Descarregamento direto de um ficheiro |
| Urgência | Nenhuma | Contador, «oferta válida durante 15 minutos» |
| Alternativa | Pagamento clássico disponível | O QR code é apresentado como o único meio |
O último critério é provavelmente o mais revelador. Uma instituição nunca elimina todos os outros canais. Quando um suporte lhe explica que a leitura do código é a única via possível, é porque se procura impedi-lo de verificar noutro sítio.
O fundo do problema não é técnico
O quishing não assenta em nenhuma proeza informática. Assenta num hábito coletivo instalado em poucos anos: o de confiar num suporte físico porque está ali, visível, no espaço público. Aprendemos a desconfiar do que chega ao nosso ecrã sem termos pedido — SMS, e-mails, chamadas — mas não do que está colado num equipamento na rua.
A boa notícia é que a defesa exige menos esforço do que no caso do SMS fraudulento. Um link recebido por mensagem tem de ser analisado mentalmente num segundo. Um QR code, esse, toca-se com o dedo. O teste mais fiável contra esta burla de 2026 é também o mais antigo do mundo: verificar com a mão se alguma coisa foi colada por cima de outra.
E se precisa de avisar rapidamente alguém próximo de uma burla detetada no seu bairro, uma mensagem curta e clara continua a ser a ferramenta mais eficaz — muito mais do que uma longa mensagem de voz ou uma captura de ecrã ilegível. Uma frase, um local, um conselho. É muitas vezes tudo o que faltava para evitar a leitura de código a mais.
