QR Code malicioso: como verificar antes de abrir

Um QR Code é apenas uma forma de transportar um endereço ou uma informação. A câmera pode abrir o destino rapidamente, mas não sabe se a página é legítima. O risco aparece quando o código leva a um site falso, a um download perigoso ou a uma cobrança que você não esperava.

Pare antes de tocar no resultado

Depois de escanear, leia o endereço completo antes de abrir. Procure o domínio real, não apenas o nome que aparece no começo do texto. banco-exemplo.com e banco-exemplo.seguro-site.com não são o mesmo domínio. Caracteres trocados, palavras extras e encurtadores merecem pausa.

Desconfie de QR Codes colados sobre um cartaz, colocados em uma mensagem inesperada ou acompanhados de prazo artificial. Uma cobrança ou entrega importante deve poder ser conferida no aplicativo ou site oficial, sem depender daquele código específico.

Nunca entregue segredo pela página aberta

Não informe senha, código de autenticação, número completo de cartão ou documento porque um QR Code mandou. Feche a página e abra o aplicativo oficial digitando o endereço conhecido. A presença de cadeado no navegador não prova que a empresa é legítima; ele apenas descreve a conexão com o domínio acessado.

Se o código vier de um estabelecimento, compare o destinatário e o valor no aplicativo do banco. A aprovação deve acontecer no canal que você controla, não em um formulário inesperado.

Se você já abriu

Feche a página. Não baixe arquivos, não instale aplicativo e não permita notificações. Se digitou uma senha, troque-a pelo site oficial e encerre sessões. Se informou dados financeiros, fale com o banco pelo canal oficial. Registre o que ocorreu sem expor a mensagem ou seus dados em público.

Fontes

• FTC: How To Recognize and Avoid Phishing Scams
• CISA: Recognize and Report Phishing

QR Code não é sinônimo de golpe, assim como não é selo de segurança. O hábito mais útil é conferir o destino e concluir a ação em um canal que você abriu por conta própria.