Quishing é phishing realizado por meio de um código QR. Alguém te direciona para um site malicioso usando um código em vez de um link, e, como a maioria dos códigos QR é anônima, você não consegue saber para onde ele leva até escaneá-lo. É um risco real, mas vale a pena ser preciso sobre onde o risco de fato mora: em códigos aleatórios e anônimos que qualquer um pode gerar e colar em qualquer lugar, não no código de uma marca impresso na sua própria embalagem e que resolve para o seu próprio domínio.
Essa distinção importa, porque a migração para códigos de barras 2D nos produtos deixou alguns compradores nervosos, achando que todo código agora é uma armadilha. Não é. Este guia explica como o quishing funciona, por que um código responsável como um GS1 Digital Link é construído para evitá-lo, e como distinguir um código seguro de um suspeito.
O que é quishing?
A resposta direta: quishing, uma mistura de "QR" e "phishing", é um golpe em que um atacante usa um código QR para te enviar a um site fraudulento ou para disparar uma ação prejudicial. O código é apenas o método de entrega. Ele funciona pelo mesmo motivo que os links de phishing funcionam, porque esconde o destino, e é discutivelmente pior, porque um quadrado impresso não te dá prévia ao passar o cursor nem endereço visível para inspecionar antes de se comprometer.
Os atacantes gostam de códigos QR porque são baratos, parecem oficiais e podem ser colocados no mundo físico, onde as pessoas confiam no seu entorno: um parquímetro, uma mesa de restaurante, um cartaz, uma carta.
Como um golpe de quishing de fato funciona
Um ataque típico de quishing tem três movimentos. Primeiro, o atacante gera um código QR que aponta para um site que ele controla, muitas vezes um clone convincente de uma página real de login ou pagamento. Segundo, ele coloca esse código onde uma vítima espera um legítimo, frequentemente como um adesivo colado por cima de um código genuíno. Terceiro, a vítima escaneia, cai na página falsa e entrega uma senha ou dados de cartão acreditando que é o serviço de verdade.
O principal facilitador em quase todos os casos é o anonimato. O código não carrega nenhuma prova de quem o fez ou para onde deveria levar. Qualquer um pode fazer um, e nada no próprio símbolo o avaliza.
Por que um código GS1 Digital Link é diferente
O código GS1 Digital Link de uma marca é um bicho diferente de um adesivo aleatório, porque está atrelado a uma cadeia responsável. A identidade no código é licenciada pela GS1 a uma empresa real e registrada, e resolve por meio de um endereço conhecido, e não de uma URL misteriosa. Um adesivo fraudulento não consegue falsificar essa cadeia. No máximo pode ser uma cópia apontando para onde não deveria, que é exatamente o mesmo risco que já existe com um endereço web impresso ou um número de telefone numa embalagem, e nada pior.
Em outras palavras, o código impresso na arte de um produto pelo seu fabricante, resolvendo para o domínio desse próprio fabricante, fica na ponta segura do espectro. A ponta perigosa é o adesivo anônimo, sem dono responsável. A transição para códigos padronizados e de propriedade da marca empurra todo o ecossistema em direção à ponta segura, não para longe dela.
Como identificar um código QR falso
Você não precisa temer todo código. Você precisa do mesmo faro de rua que já usa com links e números de telefone. Os sinais abaixo separam um código em que você pode confiar de um em que não deveria.
| Sinal | Código confiável | Código suspeito |
|---|---|---|
| Aplicação | Impresso no próprio produto ou material | Um adesivo colado por cima de outro código |
| Local | Num produto, em materiais oficiais | Colado num poste, parquímetro ou superfície aleatória |
| Destino | Resolve para o domínio da própria marca | Domínio estranho, encurtador de link, nome com erro de grafia |
| Solicitação | Mostra informações | Pede imediatamente uma senha ou pagamento |
| Contexto | Combina com onde você está e o que você espera | Chega sem ser solicitado, por carta ou e-mail, com urgência |
Se um código é um adesivo sobreposto a outro código, ou te leva a uma página exigindo credenciais, pare. Esse é o padrão a desconfiar.
O que as marcas podem fazer para proteger os seus clientes
As marcas não estão de mãos atadas aqui, e as escolhas que reduzem o risco de quishing são as mesmas que tornam um código mais útil. Imprima o código diretamente na arte em vez de aplicá-lo como um adesivo separado, para que a adulteração seja mais difícil e mais visível. Resolva para o seu próprio domínio para que o destino seja verificável. Use uma identidade responsável e baseada em normas, como o GS1 Digital Link, para que o código esteja atrelado à sua empresa e não a um gerador anônimo. Para produtos de alto valor, coloque uma verificação de autenticidade por trás do escaneamento para que um comprador possa confirmar que o produto é genuíno.
Nada disso é exótico. É a diferença entre um código que só interessa a um leitor e um código em que um cliente pode confiar, e o assunto é tratado com mais profundidade no nosso guia pilar sobre se os códigos QR nos produtos são seguros.
Quer publicar códigos que resolvam para o seu próprio domínio por meio de uma cadeia responsável? Crie uma conta gratuita e teste.
Perguntas frequentes
O que significa quishing?
Quishing é phishing realizado por meio de um código QR. Um atacante usa um código, em vez de um link, para enviar uma vítima a um site fraudulento ou para provocar uma ação prejudicial. O código esconde o destino, e é isso que torna a técnica eficaz.
Os códigos QR nos produtos são perigosos?
Não quando fazem parte de um sistema responsável. O risco que preocupa as pessoas vem de códigos anônimos que qualquer um pode imprimir e colar em qualquer lugar. Um código impresso na embalagem de um produto pela marca, resolvendo para o próprio domínio da marca, fica na ponta segura do espectro. Tenha cautela com códigos colados por cima de outros códigos ou colocados em locais públicos aleatórios.
Como posso saber se um código QR é um golpe?
Verifique a aplicação, o destino e a intenção. Desconfie de um código que seja um adesivo sobreposto a outro código, que resolva para um domínio estranho ou com erro de grafia ou um encurtador de link, ou que peça imediatamente uma senha ou pagamento. Um código confiável é impresso no próprio material e resolve para um domínio que combina com a marca.
O GS1 Digital Link previne o quishing?
Ele não torna a fraude impossível, mas remove o anonimato do qual o quishing depende. Um código GS1 Digital Link é licenciado a uma empresa registrada e resolve por meio de um endereço conhecido, então um adesivo fraudulento não consegue se passar por essa cadeia responsável. Ele reduz o ataque ao mesmo risco de cópia que já existe com qualquer endereço impresso.
