Golpes com QR Code representam 11% dos e-mails de phishing

Pagar uma conta via Pix, acessar o cardápio de um restaurante ou confirmar a entrada em um evento: o QR Code se tornou parte da rotina dos brasileiros — e também uma das ferramentas favoritas dos cibercriminosos. Segundo o ESET Threat Report H1 2026, aproximadamente 11% de todos os e-mails de phishing detectados pela empresa já utilizam QR Codes, um volume que alcançou cerca de 100 mil detecções mensais, com pico registrado em abril. O avanço mostra que os criminosos estão adaptando golpes tradicionais a formatos cada vez mais familiares ao usuário.

Diferentemente de um link tradicional, o QR Code esconde o endereço de destino até ser escaneado. Nos celulares, onde boa parte dessas ações acontece, a navegação tende a ser mais rápida e intuitiva, reduzindo as chances de o usuário verificar se o site é legítimo antes de fornecer informações ou concluir uma transação.

Por que o golpe do QR Code cresce no Brasil

O cenário é especialmente relevante no Brasil, onde o QR Code se consolidou como uma ferramenta de uso cotidiano. Segundo pesquisa da CNDL e do SPC Brasil, 86% dos consumidores brasileiros já realizaram pagamentos utilizando essa tecnologia, principalmente por meio do Pix. Esse hábito facilita a rotina, mas também reduz a desconfiança diante de códigos aparentemente legítimos — característica explorada pelos criminosos nas campanhas de quishing.

"O QR Code transmite uma sensação de legitimidade porque faz parte da nossa rotina. As pessoas já se acostumaram a apontar o celular e seguir adiante sem pensar duas vezes. Os criminosos entendem esse comportamento e passaram a explorar justamente essa confiança. O golpe continua sendo o phishing de sempre, mas com uma embalagem muito mais convincente", explica Jonathan Ramos, pesquisador de segurança da ESET no Brasil.

Como se proteger dos golpes com QR Code

Para reduzir os riscos, a ESET recomenda desconfiar de QR Codes recebidos por e-mail, mensagens de texto ou aplicativos de conversa sem solicitação prévia, especialmente quando envolvem pagamentos, atualização de cadastros ou acesso a contas.

A empresa reforça que, antes de inserir qualquer informação, é importante verificar o endereço da página aberta após o escaneamento e evitar códigos colados sobre placas, cartazes ou equipamentos públicos, que podem ter sido adulterados. O uso de soluções de segurança capazes de identificar links maliciosos também ajuda a bloquear tentativas de fraude antes que elas comprometam dados pessoais ou financeiros.

"Os golpes evoluem conforme os hábitos das pessoas mudam. Hoje, o QR Code faz parte da rotina de milhões de brasileiros, seja para pagar uma compra, acessar um cardápio ou entrar em um evento. A melhor forma de se proteger é manter o mesmo nível de atenção que teríamos ao clicar em um link desconhecido: a tecnologia é segura, mas a confiança excessiva pode ser explorada pelos criminosos", conclui Ramos.