Criado em 1994 por Masahiro Hara, da empresa japonesa Denso Wave, o QRCode foi inicialmente concebido para rastrear peças na indústria automóvel. Com o passar do tempo, essa tecnologia bidimensional expandiu-se para inúmeros contextos, tornando-se uma presença constante no nosso dia a dia, de ementas digitais a processos de autenticação bancária.
No entanto, à medida que o seu uso se massifica globalmente, e muitas vezes sem o devido controlo, aumentam também os riscos associados. O que à primeira vista parece ser apenas um quadrado inofensivo pode, na verdade, representar uma séria ameaça à segurança da informação.
Mas, à medida que a sua receção cresce a nível global e sem controlo, aumentam também os riscos, e muitas pessoas ainda subestimam a ameaça que um simples código pode representar para a segurança da informação.
O porquê do QRCode poder ser perigoso:
Um QRCode pode armazenar uma grande diversidade de dados: URLs, contactos de telemóvel, mensagens, dados de autenticação e até informações bancárias. A maioria dos dispositivos móveis lê estes códigos de forma imediata, muitas vezes executando automaticamente a ação associada, como abrir um link, mostrar os dados de contacto de um cartão vCard, entre outros.
É exatamente aqui que reside o perigo: ao contrário de um link visível em texto, o QRCode oculta seu conteúdo real do utilizador até ao momento da leitura. Esta característica torna-o uma ferramenta eficaz para ataques de engenharia social.
Casos reais: Quando o QRCode é a porta de entrada
1. “Quishing”: QR + Phishing
Em 2022, o FBI dos EUA emitiu um alerta oficial sobre cibercriminosos que colavam QRCodes falsos sobre os legítimos, em locais como parquímetros, restaurantes e caixas Multibanco. O objetivo era redirecionar as vítimas para páginas clonadas, onde roubavam credenciais e dados bancários.
Fonte: [FBI PSA – QRCode Fraud](https://www.ic3.gov/PSA/2022/PSA220118)
2. Fraudes em postos de combustível no Brasil
Em vários estados, criminosos colaram autocolantes com QRCodes falsificados nas bombas de gasolina, imitando sistemas de pagamento digital. As vítimas, ao digitalizarem os códigos, eram levadas a páginas fraudulentas que capturavam os seus dados pessoais e bancários.
Fonte: [Olhar Digital, 2023]
Argumento: https://www.psafe.com/blog/golpe-qr-code-seguranca/
Principais riscos associados ao uso de QRCodes:
- Redirecionamento para sites de phishing
- Instalação automática de malware
- Roubo de credenciais e dados bancários
- Uso em ataques direcionados (APT) com engenharia social
- Conexão automática a redes Wi-Fi comprometidas
Como proteger-se: Boas práticas essenciais
Para proteger-se contra os riscos associados ao uso de QRCodes, é fundamental adotar algumas boas práticas:
- Desconfie de códigos em locais públicos, especialmente os que não têm qualquer identificação da origem.
- Evite utilizar aplicações desconhecidas para leitura. Dê preferência ao leitor nativo do sistema operativo ou a apps que permitam pré-visualizar o conteúdo antes da execução.
- Verifique sempre a URL antes de clicar. Preste atenção ao domínio e certifique-se de que é legítimo.
- Ative a autenticação multifator nos seus serviços. Mesmo que suas credenciais sejam comprometidas, o segundo fator pode impedir acessos não autorizados.
- No contexto corporativo, promova campanhas de sensibilização e inclua o uso responsável de QRCodes nas políticas de cibersegurança. Uma sugestão útil é adicionar uma marca de água corporativa aos QRCodes gerados internamente, para facilitar a identificação de códigos legítimos.
Atenção: Gerar QRCodes em sites não oficiais ou através de ferramentas online, pode representar um grande risco à segurança. Em caso de dúvida, consulte a equipa de Cibersegurança da sua organização antes de prosseguir.
Integração com Zero Trust e SIEM: Uma visão técnica
Empresas que implementam a abordagem Zero Trust devem encarar o QRCode como um potencial vetor de ataque. Soluções de SIEM (como Splunk, QRadar ou Elastic Security) permitem monitorizar e correlacionar eventos suspeitos que ocorrem após a leitura de QRCodes — como acessos a URLs maliciosas ou tentativas de autenticação invulgares em endpoints.
O QRCode é uma faca de dois gumes: uma tecnologia que promove agilidade, mas também serve como porta de entrada para ataques sofisticados. Em tempos de hiperconectividade, segurança da informação exige vigilância contínua até nos detalhes mais triviais.
Na dúvida, desconfie SEMPRE de QRCodes especialmente aqueles que aparecem quando menos espera, com promoções ou facilidades tentadoras.
#WeAreDoingITtogether
Política de Cookies