# Quishing: quando um simples QR code colado num parquímetro substitui o SMS armadilhado

> Os burlões estão a abandonar o link clicável a favor do QR code: autocolantes em parquímetros, postos de carregamento, cartas falsas. Perceber o quishing e adotar os reflexos certos antes de fazer a leitura.

- Source: https://www.envoyer-sms-gratuit.com/pt/blog/2026-08-29/arnaque-sms-qr-code-quishing-affiches-parkings
- Published: 2026-08-29 (29 de agosto de 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: pt
- Categories: Guide
- Tags: Cybersécurité, Smartphone, Protection des données, Guide, France 2026, Seniors

---
Está a estacionar no centro da cidade. O parquímetro exibe um autocolante limpo, bem centrado, com um logótipo municipal credível e aquela menção que se tornou banal: «Pague o seu estacionamento sem moedas — faça a leitura». Tira o telemóvel do bolso, lê o código, abre-se um formulário, introduz a matrícula e o cartão bancário. Trinta segundos, nenhuma aplicação para instalar. É exatamente o gesto que as cidades o incentivam a fazer há anos.

Só que o autocolante foi colado na noite anterior por cima do verdadeiro.

Nenhum link visível, nenhum erro ortográfico, nenhum tom alarmista. O quishing — contração de *QR code* e *phishing* — nada tem a ver com o SMS ameaçador ao qual aprendemos a resistir. Não o pressiona: presta-lhe um serviço. E quem se sente ajudado não se sente em perigo.

![Grande plano do rosto de uma mulher segurando um smartphone preto junto ao ouvido](/images/blog/2026-08-29-arnaque-sms-qr-code-quishing-affiches-parkings/hero.jpg)

## Porque é que o QR code se tornou o ângulo morto da vigilância

Há dez anos que toda a educação do público contra o phishing assenta numa única competência: **ler um endereço**. Detetar o hífen a mais, o `.xyz` em vez do `.pt`, o nome do banco seguido de uma palavra parasita. A Cybermalveillance.gouv.fr, a ANSSI ou os serviços bancários repetem o mesmo conselho há anos: verifique o link antes de clicar.

O QR code anula essa competência de uma só vez. Um quadrado de píxeis pretos não diz nada. Não se sobrevoa, não se lê, não se compara. Faz-se a leitura — ou seja, confia-se nele por antecipação.

Três fatores agravam a situação:

- **A banalização pós-2020.** Ementas de restaurantes, bilheteiras, postos de carregamento, manuais de montagem de móveis, etiquetas de produtos: o gesto de ler um código tornou-se um reflexo, sem a mais pequena suspeita associada.
- **A rutura de contexto.** O SMS fraudulento chega dentro de um fluxo (as suas mensagens) onde outras mensagens servem de referência. O QR code, esse, é físico: pede emprestada a credibilidade do suporte onde está colado. Um autocolante em mobiliário urbano oficial *parece* oficial.
- **A mudança de ecrã.** Muitas vezes lê o código exposto num suporte exterior com o telemóvel esticado à frente, em plena luz, com pressa. É o pior contexto possível para ler com atenção uma barra de endereço truncada.

O smishing clássico não desapareceu — as vagas de falsos SMS bancários ou administrativos noticiadas nos últimos meses pela imprensa regional demonstram-no. Mas o QR code oferece aos burlões algo que o SMS já não lhes dá: **a ausência total de filtro**. Nenhum operador consegue analisar um autocolante.

## Onde se encontram concretamente

As denúncias que chegam às associações de consumidores e às autarquias desenham uma geografia bastante estável.

| Suporte manipulado | Pretexto apresentado | O que o burlão recolhe |
|---|---|---|
| Parquímetro, parque subterrâneo | Pagamento do estacionamento | Cartão bancário, matrícula, identidade |
| Posto de carregamento elétrico | Início da sessão de carregamento | Cartão bancário, criação de conta |
| Bicicletas e trotinetes de partilha | Desbloqueio rápido do veículo | Dados bancários |
| Cartaz de boleias / anúncio classificado | Contacto do vendedor | Credenciais de uma plataforma |
| Carta em papel «oficial» | Regularização de um processo, reembolso | Dados pessoais completos |
| Encomenda recebida com um folheto «oferta» | Avaliação em troca de um vale de compras | Conta de loja online, subscrição escondida |
| Esplanada de café, mesa de restaurante | Ementa ou pagamento da conta | Cartão bancário |

Duas variantes merecem atenção especial.

**A falsa carta administrativa.** Receber uma carta em papel continua a ser, para muita gente, sinónimo de seriedade. Campanhas que imitam organismos públicos — segurança social, caixas de reforma, autoridade tributária — substituem agora o endereço web por um QR code, precisamente porque um QR code se falsifica mais facilmente do que um site institucional se verifica. Recorde-se o princípio lembrado pela Ameli: a Segurança Social nunca pede dados bancários por mensagem ou por carta não solicitada para «desbloquear» um reembolso.

**O «brushing» com folheto.** Recebe uma pequena encomenda que não encomendou, com um cartão a propor uma oferta em troca de uma avaliação. O QR code leva a um formulário que recolhe muito mais do que o necessário.

## O que acontece realmente depois da leitura

Ao contrário de uma ideia feita persistente, ler um QR code não «pirateia» um telemóvel. O código contém apenas um dado: na maioria das vezes um endereço web, por vezes um número para ligar, uma rede Wi-Fi, um texto ou uma ordem de pagamento. O perigo vem **daquilo que faz a seguir**.

Dominam três cenários:

1. **A página de recolha.** Uma cópia muito fiel de um site de pagamento. Introduz o seu cartão e ele vai diretamente para o burlão — ou, mais perverso ainda, serve para validar uma subscrição recorrente de alguns euros por semana, um valor propositadamente baixo para passar abaixo do seu limiar de atenção no extrato.
2. **O desencadear de uma chamada.** O código contém um número de valor acrescentado; o aparelho propõe ligar, e basta um segundo de distração. É a mecânica do wangiri transposta para o suporte físico.
3. **A instalação fora da loja oficial.** Uma página convida-o a instalar uma «aplicação de estacionamento» através de um ficheiro descarregado diretamente. No Android, aceitar uma instalação a partir de uma fonte desconhecida abre a porta a software capaz de intercetar os seus SMS — ou seja, os seus códigos de validação bancária.

O terceiro caso é o mais grave, porque transforma um roubo pontual num acesso duradouro. É também o único que exige várias confirmações explícitas da sua parte: outros tantos momentos em que ainda pode dizer não.

> Uma regra simples a reter: um QR code legítimo nunca lhe pede que instale seja o que for fora da App Store ou da Play Store. Nunca.

## Os seis reflexos que bastam para escapar

### 1. Tocar antes de ler

O gesto mais eficaz não custa nada: passe o dedo pelo QR code. Um autocolante colado por cima sente-se — bordo ligeiramente descolado, espessura, brilho diferente do suporte, ângulo mal alinhado, logótipo pixelizado. Num parquímetro ou num posto de carregamento, veja também se o código tapa parcialmente alguma informação (número de série, menção legal). Um operador oficial nunca esconde as suas próprias inscrições.

### 2. Ler o endereço antes de abrir

Todos os telemóveis recentes mostram o URL em pré-visualização antes de abrir a página. Dedique-lhe os dois segundos necessários. O que conta é a palavra **imediatamente antes da primeira `/`**: é o domínio verdadeiro. `pagamento.cidade-de-lisboa.pt/estacionamento` é plausível; `cidade-de-lisboa.pagamento-seguro-pt.co/estacionamento` não é de todo, mesmo que comece bem.

Se tem dificuldade em ler o ecrã no exterior, em pleno sol ou com óculos progressivos, isso não é um pormenor de conforto: é um fator de risco. Uma [película antirreflexo para smartphone](https://www.amazon.fr/s?k=film+antireflet+mat+smartphone+protection+ecran&tag=ds050-21) melhora bastante a legibilidade em plena luz e, indiretamente, a sua capacidade de verificar um endereço antes de clicar.

### 3. Recusar o atalho quando existe alternativa

Há quase sempre um caminho impossível de manipular:

- para o estacionamento, a aplicação oficial da cidade instalada a partir da loja de aplicações, ou simplesmente as moedas e o cartão inserido no parquímetro;
- para um organismo público, a introdução manual do endereço conhecido (ameli.fr, impots.gouv.fr, agirc-arrco.fr) no navegador;
- para um banco, a aplicação já instalada, nunca um link recebido.

O princípio é sempre o mesmo: **nunca siga um caminho que lhe estenderam; use aquele que já conhece.**

### 4. Isolar o pagamento

Muitas fraudes com QR code não rendem nada porque o cartão usado está vazio. É esse o papel dos cartões virtuais de utilização única propostos pela maioria dos bancos, ou de um [cartão pré-pago recarregável](https://www.amazon.fr/s?k=carte+prepayee+rechargeable&tag=ds050-21) reservado aos pagamentos no terreno — estacionamento, carregamento, compras em mobilidade. O plafond limita mecanicamente os estragos, e uma subscrição escondida não pode cobrar aquilo que não existe.

### 5. Bloquear o aparelho a montante

Duas configurações, de uma vez por todas:

- no Android, deixar desativada a autorização de instalar aplicações a partir de fontes desconhecidas (Definições → Aplicações → Acesso especial);
- tanto no iPhone como no Android, ativar a proteção contra sites fraudulentos nas definições do navegador.

Para quem manuseia o telemóvel na rua, muitas vezes com as mãos ocupadas, uma [capa com porta-cartões integrado](https://www.amazon.fr/s?k=coque+smartphone+porte+carte+integre&tag=ds050-21) evita ter de tirar ao mesmo tempo o telemóvel e a carteira num passeio — o contexto típico em que se lê um código depressa e mal.

### 6. Denunciar, sistematicamente

Um autocolante fraudulento fica no sítio enquanto ninguém o retirar. Três gestos úteis:

- **descolar o falso QR code** se for visivelmente um acrescento, ou fotografá-lo;
- **avisar o responsável**: câmara municipal, serviço de estacionamento, operador do posto de carregamento, gerente do estabelecimento;
- **denunciar a página** na plataforma Cybermalveillance.gouv.fr, e o SMS associado ao **33700** quando uma mensagem precedeu ou se seguiu à leitura.

Caso tenha efetuado um pagamento, cancele o cartão de imediato e apresente queixa. A diretiva europeia dos serviços de pagamento (DSP2), transposta para o direito nacional, regula o reembolso das operações não autorizadas: o seu banco deve reembolsar uma operação que não autorizou, salvo se demonstrar negligência grave da sua parte. Daí a importância de guardar provas — fotografia do autocolante, captura de ecrã da página, data e hora.

## O caso particular dos idosos e dos públicos vulneráveis

O quishing atinge sobretudo quem adotou o smartphone tardiamente. Estas pessoas interiorizaram muitas vezes uma instrução simplificada — «não cliques nos links» — sem que o QR code entre nessa categoria mental. Para muitas, ler um código não é clicar.

Algumas medidas de acompanhamento que funcionam:

- reformular a instrução em termos de destino e não de suporte: «nunca se paga a partir de um código exposto na rua, paga-se a partir de uma aplicação que se instalou»;
- instalar em conjunto as duas ou três aplicações realmente úteis (estacionamento, transportes, banco) para eliminar a necessidade de ler seja que código for;
- aumentar o tamanho da letra e o contraste para tornar legível a pré-visualização do endereço;
- para um familiar muito reticente à tecnologia, assumir uma utilização mínima: um [telemóvel sénior com teclas grandes](https://www.amazon.fr/s?k=telephone+portable+senior+grosses+touches&tag=ds050-21) sem navegador fecha a porta à totalidade destes ataques, o que continua a ser uma opção perfeitamente legítima.

Um [livro de divulgação sobre cibersegurança](https://www.amazon.fr/s?k=livre+cybersecurite+grand+public+debutant&tag=ds050-21), deixado na mesa de apoio, faz muitas vezes mais efeito do que uma explicação oral de dez minutos: a leitura ao ritmo de cada um evita o sentimento de infantilização que bloqueia tantas conversas familiares sobre o tema.

## O que distingue um QR code legítimo de uma armadilha

| Sinal | Legítimo | Suspeito |
|---|---|---|
| Suporte | Impresso na própria estrutura, gravado, integrado no mobiliário | Autocolante acrescentado, sobreposto |
| Domínio apresentado | Nome do organismo antes da primeira `/` | Nome do organismo como subdomínio ou com hífen |
| Pedido | Montante, matrícula, sessão | Cartão + documento de identificação + número fiscal |
| Instalação | Encaminhamento para a App Store / Play Store | Descarregamento direto de um ficheiro |
| Urgência | Nenhuma | Contador, «oferta válida durante 15 minutos» |
| Alternativa | Pagamento clássico disponível | O QR code é apresentado como o único meio |

O último critério é provavelmente o mais revelador. Uma instituição nunca elimina todos os outros canais. Quando um suporte lhe explica que a leitura do código é a única via possível, é porque se procura impedi-lo de verificar noutro sítio.

## O fundo do problema não é técnico

O quishing não assenta em nenhuma proeza informática. Assenta num hábito coletivo instalado em poucos anos: o de confiar num suporte físico porque está ali, visível, no espaço público. Aprendemos a desconfiar do que chega ao nosso ecrã sem termos pedido — SMS, e-mails, chamadas — mas não do que está colado num equipamento na rua.

A boa notícia é que a defesa exige menos esforço do que no caso do SMS fraudulento. Um link recebido por mensagem tem de ser analisado mentalmente num segundo. Um QR code, esse, toca-se com o dedo. O teste mais fiável contra esta burla de 2026 é também o mais antigo do mundo: verificar com a mão se alguma coisa foi colada por cima de outra.

E se precisa de avisar rapidamente alguém próximo de uma burla detetada no seu bairro, uma mensagem curta e clara continua a ser a ferramenta mais eficaz — muito mais do que uma longa mensagem de voz ou uma captura de ecrã ilegível. Uma frase, um local, um conselho. É muitas vezes tudo o que faltava para evitar a leitura de código a mais.

{/* image-sources: https://images.pexels.com/photos/6964158/pexels-photo-6964158.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}