Burla de quishing com código QR 2026: como um código QR falso sequestra o seu pagamento em segundos

Estaciona o carro e o parquímetro tem um código QR bem apresentado a dizer para digitalizar e pagar pelo telemóvel. Digitaliza, abre-se uma página de pagamento com aspeto familiar, introduz o número do cartão e vai-se embora. Dois dias depois, há cobranças que nunca fez. O código era um autocolante, colado sobre o verdadeiro por um estranho, e acabou de entregar o seu cartão a uma burla de quishing com código QR. Este é o truque de phishing que mais cresce neste momento: um link malicioso dobrado dentro de um quadrado de pontos que o seu filtro de spam nem sequer vê.

O quishing funciona porque tira o ataque dos canais que aprendemos a desconfiar e coloca-o no único dispositivo em que mais confiamos. As gateways de e-mail e os filtros de SMS estão treinados para apanhar URLs suspeitos, mas um código QR é uma imagem, por isso o endereço perigoso viaja sem ser lido. Num período de 2025, os e-mails de phishing baseados em QR dispararam de cerca de 47.000 em agosto para mais de 249.000 em novembro, e uma análise do início de 2025 identificou mais de 4,2 milhões de ameaças de phishing por QR. Tanto o FBI como a FTC emitiram alertas ao consumidor contra a digitalização de códigos QR não verificados em mensagens, e-mails e espaços públicos.

Resposta rápida

O que é uma burla de quishing? (E porque é que um código QR vence um filtro de spam)

Uma burla de quishing, abreviatura de phishing por código QR, entrega um ataque de phishing através de um código digitalizável em vez de um link escrito. O criminoso codifica um endereço web malicioso como uma imagem de QR e coloca-o num sítio onde é provável que o digitalize: um autocolante impresso, uma mensagem, um e-mail, um folheto ou uma fatura falsa. Quando a sua câmara lê o código, o telemóvel oferece-se para abrir o endereço, que carrega uma página feita para parecer um banco, um serviço de encomendas, uma concessionária de portagens ou um ecrã de início de sessão. Tudo depois da digitalização é phishing comum. O código QR é só a embalagem.

Essa embalagem é toda a vantagem. As ferramentas de segurança que protegem a sua caixa de entrada e as suas mensagens analisam o texto à procura de URLs reconhecidamente perigosos e suspeitos, mas não conseguem ler o que está dentro de uma imagem sem esforço extra, por isso um link escondido num código QR passa muitas vezes direto. A digitalização também o transfere de um computador de trabalho monitorizado para um telemóvel pessoal, que normalmente tem filtragem mais fraca e um ecrã pequeno que esconde o destino real. Para um guia completo de como avaliar qualquer endereço, o nosso artigo sobre se um site é fidedigno combina bem com tudo o que está aqui.

Os 6 locais onde os códigos QR falsos estão a atingir as pessoas em 2026

O quishing aparece onde um código QR já parece normal. Segundo alertas do FBI e da FTC, estes são os seis cenários que geram mais denúncias em 2026:

• <strong>Parquímetros e máquinas de pagamento.</strong> Os autores das burlas colam um código falso sobre o verdadeiro para que o seu pagamento, e os dados do seu cartão, vão para eles.
• <strong>Ementas de restaurantes e bares.</strong> Um autocolante adulterado na mesa envia-o para uma ementa parecida ou para uma página de "pague a sua conta" que recolhe o seu cartão.
• <strong>Mensagens de "reentrega" de encomendas.</strong> Uma mensagem afirma que uma encomenda está retida e que um código QR a reagendará por uma pequena taxa. A página da taxa rouba o cartão.
• <strong>Avisos de portagem por pagar.</strong> Uma mensagem ou carta avisa sobre uma portagem em atraso e fornece um código QR para a regularizar, imitando concessionárias reais.
• <strong>Faturas e pedidos de transferência.</strong> Uma fatura falsa ou pedido de pagamento traz um código QR que encaminha o seu dinheiro e o seu início de sessão para o atacante.
• <strong>Bilhetes de eventos e folhetos.</strong> Um cartaz ou bilhete revendido usa um código QR que leva a uma página de recolha de credenciais ou de checkout falso.

A versão do autocolante físico é especialmente dispendiosa. Num caso de 2025, autocolantes de QR falsos colados sobre códigos legítimos em cerca de 200 lojas causaram uma quebra de 15% nas digitalizações verdadeiras e cerca de 2,3 milhões de dólares em custos de contenção de danos. Um autocolante custa cêntimos, e transforma uma superfície de confiança numa armadilha de pagamento.

Como a troca do autocolante de QR e o quish por mensagem funcionam de facto

Existem dois métodos dominantes, e conhecer ambos é como fica um passo à frente deles. O primeiro é a troca do autocolante. Um atacante imprime um código QR que aponta para um domínio que controla, muitas vezes uma cópia quase perfeita de uma página de pagamento real, e depois cobre fisicamente o código legítimo num parquímetro, ementa ou cartaz. Como a placa à volta é real, a sua guarda mantém-se em baixo. Digitaliza, a página falsa carrega, e introduz dados do cartão ou da conta que fluem direto para o criminoso.

O segundo é o quish por mensagem, um primo das clássicas burlas de smishing por SMS. Aqui o código QR chega numa mensagem ou e-mail, embrulhado em urgência: uma encomenda não pode ser entregue, uma portagem está em atraso, uma conta precisa de ser verificada. A imagem do QR desvia dos filtros de URL que sinalizariam um link comum, e o ecrã pequeno do telemóvel esconde o domínio feio e com erros de escrita para onde o código realmente aponta.

Sinais de alerta: como detetar um código QR falso antes de digitalizar

Qualquer um destes é motivo para parar. Dois ou mais em conjunto significam que quase de certeza está perante uma burla de quishing com código QR.

• <strong>Um autocolante sobre um autocolante.</strong> Bordas a descolar, um código torto ou uma etiqueta de QR que não corresponde à placa em que está.
• <strong>Uma exigência inesperada de pagamento ou de início de sessão.</strong> Um prémio, uma taxa de encomenda ou uma portagem que não estava à espera de pagar.
• <strong>Uma pré-visualização de URL que não corresponde.</strong> Depois de digitalizar, o endereço é um link encurtado, uma marca com erro de escrita ou um domínio que nada tem a ver com o local ou a empresa.
• <strong>Urgência e ameaças.</strong> "Aviso final", "a conta será encerrada" ou uma contagem decrescente a empurrá-lo para pagar já.
• <strong>Um código enviado por SMS, mensagem direta ou e-mail.</strong> As transportadoras e concessionárias de portagens reais normalmente não lhe enviam um código QR por mensagem para cobrar dinheiro.
• <strong>Um pedido de código de utilização única.</strong> Nenhuma página de pagamento legítima lhe pede que repita um código que o seu banco acabou de enviar por SMS.

Recebeu um código QR ou link numa mensagem que parece estranho? Digitalize-o no Truvizy antes de tocar ou pagar.

Como o Truvizy deteta burlas de quishing com código QR

O momento perigoso no quishing é o segundo entre digitalizar um código e introduzir o cartão, e é exatamente aí que o Truvizy foi feito para ajudar. Quando um código QR o envia para uma página suspeita, ou quando chega uma mensagem a trazer um código e uma história sobre uma encomenda ou uma portagem, pode passar a mensagem ou o link para a deteção com IA do Truvizy em vez de confiar cegamente. A análise em várias camadas do Truvizy pesa o destino e a mensagem face a padrões conhecidos de burla, por isso recebe um veredicto claro antes de qualquer dado sair do seu telemóvel.

Essa verificação antecipada é todo o objetivo. Uma página de quishing é feita para parecer idêntica à verdadeira, e o ecrã pequeno esconde os sinais que a denunciariam num computador. Submeta a mensagem ou o link suspeito em truvizy.app, e o Truvizy diz-lhe se está a ser conduzido para uma página falsa de pagamento ou de início de sessão enquanto ainda pode sair ileso. Num ano em que o phishing por QR é uma das ameaças que mais crescem online, verificar antes de digitalizar é a diferença entre um encolher de ombros e um cartão roubado.

O que fazer se digitalizou um código QR falso

Se apenas digitalizou o código e fechou a página sem introduzir nada, quase de certeza está tudo bem. Apague a mensagem e siga em frente. Se introduziu dados, aja depressa e não se culpe, porque estas burlas são feitas para vencer pessoas cuidadosas.

Ligue imediatamente para o seu banco ou emissor do cartão. Comunique a transação como fraude, conteste qualquer cobrança, incluindo pequenas "taxas", e peça um novo número de cartão para bloquear cobranças futuras. Os direitos de contestação são a sua proteção mais forte num cartão de crédito.

Proteja qualquer conta em que iniciou sessão. Altere a palavra-passe no site verdadeiro, ative a autenticação de dois fatores e nunca aprove um pedido de início de sessão nem repita um código de utilização única a alguém que lhe ligue depois a alegar que ajuda.

Denuncie. Apresente queixa na FTC em reportfraud.ftc.gov e no FBI Internet Crime Complaint Center em ic3.gov, que alimentam as bases de dados usadas pelos investigadores. Se um autocolante falso estava num parquímetro ou ementa público, avise o estabelecimento para que o possam remover e proteger a próxima pessoa.

Nota de análise especializada: O quishing passou de um truque de nicho para um canal de fraude generalizado porque explora uma falha que os filtros de e-mail e SMS nunca foram concebidos para fechar, um endereço malicioso escondido dentro de uma imagem. O seu crescimento explosivo em 2025, cerca de cinco vezes, acompanha a passagem dos pagamentos do dia a dia para os telemóveis, onde os ecrãs pequenos escondem o destino e a confiança é elevada. O papel do Truvizy é preventivo: verifique o código ou a mensagem antes de digitalizar e pagar, porque assim que um número de cartão é introduzido numa página falsa, o prejuízo está normalmente já feito.

Perguntas frequentes

O que é o quishing e em que é diferente do phishing normal?

O quishing é phishing entregue através de um código QR em vez de um link clicável. Como o endereço malicioso está codificado como uma imagem, escapa aos filtros de spam e de links que analisam o e-mail e o SMS à procura de URLs reconhecidamente perigosos. Quando digitaliza o código, o seu telemóvel abre uma página falsa de pagamento ou de início de sessão. O objetivo é o mesmo do phishing, mas a imagem do QR é o disfarce que a coloca à sua frente.

Digitalizar um código QR pode realmente roubar as minhas informações?

Só digitalizar normalmente apenas abre uma página web, mas essa página é a armadilha. Uma página de quishing imita um site real de banco, portagem ou transportadora e pede o número do seu cartão, o início de sessão ou um código de utilização única. No momento em que introduz esses dados, os criminosos captam-nos. Segundo a FTC, os autores das burlas escondem links prejudiciais em códigos QR precisamente para o enviar para sites feitos para roubar as suas informações. Na dúvida, siga a orientação da PSP e nunca introduza dados a partir de um código que não esperava.

Como sei se um código QR num parquímetro ou numa ementa é falso?

Procure um autocolante colocado sobre o código original, bordas a descolar ou um código que não corresponde à imagem do estabelecimento. Depois de digitalizar, verifique a pré-visualização do URL antes de carregar: um link legítimo de estacionamento ou de ementa usa o domínio oficial, não um encurtado ou com erro de escrita. Se a página exigir de imediato um pagamento ou um início de sessão que não esperava, feche-a. Na dúvida, pague na máquina ou peça o link verdadeiro a um funcionário.

Aquela mensagem de QR sobre "reentrega de encomenda" ou "portagem por pagar" é uma burla?

Quase sempre, sim. As transportadoras e as concessionárias de portagens legítimas não enviam mensagens com código QR a exigir uma pequena taxa para libertar uma encomenda ou regularizar uma cobrança. Estas mensagens exploram a urgência para o apressar a digitalizar e a pagar. O FBI já alertou repetidamente sobre códigos QR em mensagens inesperadas. Não digitalize. Vá diretamente à transportadora ou à concessionária pela aplicação ou site oficial para confirmar, e se for vítima, denuncie à PSP ou à Polícia Judiciária.

O que devo fazer se já introduzi os meus dados depois de digitalizar um código QR?

Aja depressa. Ligue para o seu banco ou emissor do cartão, comunique a transação como fraude, conteste qualquer cobrança e peça um novo número de cartão. Altere a palavra-passe de qualquer conta em que iniciou sessão na página falsa e ative a autenticação de dois fatores. Fique atento a chamadas ou mensagens de burla subsequentes, e denuncie a fraude à FTC em reportfraud.ftc.gov e ao FBI em ic3.gov. Em Portugal, pode também apresentar queixa à PSP ou à Polícia Judiciária.

Burlas de código QR: como digitalizar pode esvaziar a sua conta bancária — O panorama mais amplo das fraudes com código QR e como se proteger

Burlas de smishing por SMS: como detetar uma mensagem de texto falsa — Porque é que os SMS de burla funcionam e os sinais de alerta em cada mensagem suspeita

Este site é fidedigno? 7 formas gratuitas de verificar qualquer URL — Verifique qualquer link ou destino antes de introduzir os seus dados