É LegítimoÉ Legítimo?Analisar

Guia prático

Quishing · burla por QR code

Quishing é phishing escondido dentro de um QR code. O risco vem de não se ver o destino do link antes de o abrir: um autocolante num parquímetro, um código numa carta com brasão oficial ou uma ementa de restaurante podem levar a uma página falsa que rouba dados do cartão. Este guia mostra onde aparecem e como se protege.

Por Atualizado em 4 min de leitura
Verificar uma mensagemLer sinais

Alertas reais: ANSR · Via Verde · CTT

Como funciona um ataque de quishing

O atacante gera um QR code que aponta para um site clone (banco, EMEL, Via Verde, Portal das Finanças, CTT, ANSR) e coloca-o onde se espera ver um QR legítimo: um autocolante por cima do código de um parquímetro, uma carta enviada pelo correio, uma ementa, um posto de carregamento de carros elétricos. Quando a vítima lê o código, abre a página falsa e introduz dados do cartão ou credenciais. O ataque funciona porque o QR esconde o endereço e porque confiamos em códigos impressos em contextos oficiais.

Onde aparecem os QR codes falsos em Portugal

  • •Parquímetros, com autocolante colado por cima do código oficial.
  • •Postos de carregamento de veículos elétricos.
  • •Cartas em casa que imitam multas da ANSR, taxas das Finanças ou avisos dos CTT.
  • •Cartas de bancos com 'novo cartão' e um QR para 'ativar'.
  • •Ementas, mesas de esplanada, cartazes em paragens e montras.
  • •Emails e SMS que substituem o link por um QR para fugir aos filtros.

Sinais de alerta antes de ler um QR code

  • •Autocolante visivelmente colado por cima de outro código ou de uma chapa metálica.
  • •Bordos mal alinhados, papel ou impressão diferentes do resto do equipamento.
  • •Carta com QR para pagar um valor pequeno, sem outra forma de pagamento oficial.
  • •Endereço que aparece na câmara com hífens ou terminações estranhas (.click, .top, .shop) em vez do domínio oficial.
  • •Pedido de dados do cartão para 'pagar uma taxa pequena'.

Como ler um QR code com segurança

Use a câmara nativa do iPhone ou do Android: mostra o endereço antes de abrir o link. Leia-o com calma e confirme que pertence ao domínio oficial da entidade. Evite apps de leitura de QR de origem desconhecida; algumas abrem o link automaticamente. Para pagar estacionamento, use as apps oficiais instaladas a partir das lojas, nunca um QR encontrado no local. Para pagar multas ou taxas, confirme primeiro no Portal das Finanças ou no Portal das Contraordenações, autenticando-se por si.

Exemplos reais

Frases que merecem cuidado

Variantes de mensagens reportadas por utilizadores. O texto muda; o pedido é sempre o mesmo.

Autocolante num parquímetro: 'Pague aqui por QR code' que leva a estacionar-lisboa.click.

Carta com brasão: 'Coima de trânsito. Pague em 10 dias através do QR code abaixo'.

Carta do 'banco' com novo cartão: 'Ative o cartão lendo o QR code'.

Email: 'Fatura disponível. Leia o QR code para consultar'.

Se já aconteceu

Li um QR code falso e paguei. O que faço?

  1. 1Ligue ao banco, cancele o cartão e conteste o movimento.
  2. 2Se introduziu credenciais, altere-as no site oficial.
  3. 3Fotografe o QR code e o local ou a carta. São provas.
  4. 4Faça queixa pela Queixa Eletrónica e reporte ao CNCS. Se for num parquímetro ou carregador, avise a entidade gestora para removerem o autocolante.
  5. 5Se a carta imita a ANSR ou as Finanças, confirme nos portais oficiais que não tem nenhum processo real.

Guia completo: fui vítima, o que faço agora? · Onde denunciar

FAQ

Perguntas frequentes

Um QR code pode instalar vírus só por ser lido?

Ler o código em si não instala nada. O perigo está na página que abre: pode pedir dados ou propor a instalação de uma app. Nunca instale nada a partir de um QR code.

Os bancos enviam cartas com QR code?

Alguns enviam, para informação. Mas ativações de cartão e alterações de dados fazem-se na app ou pelo telefone oficial. Um QR que leva a uma página a pedir dados do cartão é falso.

Como sei se o QR de um parquímetro é oficial?

Prefira a app oficial da cidade ou do operador. Se usar o QR, veja se está impresso no equipamento e não colado, e leia o endereço na câmara antes de abrir.

Uma multa pode chegar com QR code?

Uma notificação real pode incluir referências de pagamento. Mas confirme sempre no Portal das Contraordenações ou no Portal das Finanças, autenticando-se por si, antes de pagar por qualquer QR.

Fontes oficiais

Confirme sempre nas entidades competentes

As recomendações deste guia seguem as orientações públicas destas entidades. Para reportar ou pedir ajuda, use os canais oficiais.

Guias relacionados

Continue a ler

Verificar link suspeito

Como avaliar um link recebido por SMS, email ou WhatsApp: ler o domínio real, desconfiar de encurtadores, reconhecer páginas imitadas e verificar em segurança.

Ler guia

SMS da ANSR com aviso de coima

Recebeu um SMS ou email da ANSR sobre uma coima de trânsito em aberto? A ANSR notifica por carta. Veja como confirmar no Portal das Contraordenações e como identificar a mensagem falsa.

Ler guia

O que é phishing?

Phishing explicado em português simples: como funciona, os tipos mais comuns em Portugal (email, SMS, chamada, QR code), sinais de alerta e o que fazer se já clicou.

Ler guia

Como evitar phishing

Dez hábitos práticos para evitar phishing, smishing e vishing no dia a dia: como tratar links, códigos, chamadas, palavras-passe e apps. Para si e para a sua família.

Ler guia

Ver todos os guias

Este guia foi escrito por João Sintra com base em campanhas reais reportadas no verificador e nas orientações públicas do CNCS, da ANACOM, do Banco de Portugal e da Polícia Judiciária. Encontrou um erro ou uma variante nova? Diga-nos. Veja a metodologia.

Verificar agora

Tem uma mensagem para confirmar?

Analisar mensagem