As fraudes que recorrem a códigos QR — uma técnica conhecida como quishing — estão a crescer de forma significativa em Portugal e já figuram entre as ameaças mais comuns disseminadas por email. Entre dezembro de 2025 e maio de 2026, este tipo de ataque foi a sétima ameaça mais detetada no país, representando 4,8% do total de ocorrências, segundo dados divulgados pela ESET.

A tendência acompanha o cenário internacional. A nível global, cerca de 11% dos emails de phishing identificados utilizavam códigos QR para enganar utilizadores. Em média, foram registadas aproximadamente 100 mil deteções mensais, com um pico observado em abril — o valor mais elevado desde que este tipo de fraude começou a ser monitorizado de forma autónoma, em setembro de 2025.

Ao contrário das campanhas tradicionais de phishing, que incluem ligações suspeitas visíveis, o quishing esconde o destino final dentro de um código QR. Ao ser digitalizado, este encaminha a vítima para páginas fraudulentas concebidas para roubar credenciais de acesso, dados financeiros ou outras informações sensíveis.

Segundo Ricardo Neves, responsável de comunicação da ESET Portugal, a eficácia deste método reside precisamente na sua discrição: “A ligação maliciosa não aparece diretamente no corpo do email e a interação passa frequentemente para um telemóvel, onde o utilizador pode não beneficiar dos mesmos controlos de segurança”.

Mensagens falsas imitam empresas e serviços conhecidos

Os ataques começam, regra geral, com um email aparentemente legítimo. As mensagens fazem-se passar por comunicações internas de empresas, departamentos de recursos humanos ou plataformas empresariais reconhecidas. Em vez de um link direto, apresentam um código QR e instruções para o utilizador o digitalizar, alegadamente para consultar documentos, validar informações ou concluir tarefas urgentes.

Entre os casos identificados estão falsas notificações sobre alterações salariais, benefícios laborais ou documentos que exigem aprovação. Algumas campanhas simulam serviços amplamente utilizados, como plataformas de assinatura digital, reforçando a credibilidade da fraude.

Depois de digitalizado, o código conduz a páginas cuidadosamente construídas para replicar interfaces legítimas, onde são solicitados dados confidenciais — muitas vezes sem levantar suspeitas imediatas.

Do computador ao telemóvel: a mudança que fragiliza a segurança

Um dos fatores críticos que explica o sucesso destas campanhas é a transição entre dispositivos. O email chega frequentemente a um computador protegido por sistemas de segurança corporativos, mas a ação decisiva — a leitura do QR code — é feita num telemóvel, muitas vezes pessoal e com menos mecanismos de proteção.

Além disso, o facto de o link estar embutido numa imagem dificulta a sua análise por ferramentas tradicionais de segurança, ao mesmo tempo que impede o utilizador de verificar facilmente o endereço antes de aceder.

Fraude estende-se ao espaço público

O uso malicioso de códigos QR não se limita ao ambiente digital. Há também registos de esquemas em espaços públicos, onde códigos falsos são colocados em locais como parquímetros, bicicletas partilhadas ou terminais de pagamento.

Entre os exemplos identificados estão falsas multas de estacionamento e notificações fraudulentas de portagens. Nestes casos, a digitalização do código pode levar a páginas destinadas a recolher dados de cartões bancários ou outras informações financeiras.

Como reduzir o risco

Perante este cenário, os especialistas recomendam cautela redobrada. Qualquer código QR recebido por email ou mensagem deve ser tratado com a mesma desconfiança que uma ligação desconhecida.

Antes de o digitalizar, é aconselhável confirmar se a comunicação era esperada, verificar a identidade do remetente e desconfiar de mensagens que criem urgência ou prometam acesso rápido a informações sensíveis, como salários ou pagamentos.

No contexto empresarial, a resposta passa também por reforçar as soluções de segurança capazes de detetar ligações ocultas em códigos QR, proteger dispositivos móveis e investir na formação dos colaboradores.

À medida que os métodos de fraude evoluem, a combinação entre tecnologia e comportamento informado continua a ser a principal linha de defesa.