ESET registra recorde de golpes por QR code (quishing) e disparada de ataques ClickFix

O quishing ataca um ponto cego comum nas defesas corporativas: filtros de e-mail e navegador analisam links e anexos, mas um QR code embutido em um PDF ou imagem passa por essas camadas sem levantar alarme, e só é 'clicado' quando a vítima aponta a câmera do celular — um dispositivo geralmente fora do perímetro de segurança corporativo. Isso desloca o golpe para fora da telemetria que a empresa consegue monitorar, e é exatamente esse deslocamento que a ESET aponta como motor do crescimento recorde da técnica.

O ClickFix, por sua vez, é uma engenharia social mais sutil: a vítima chega a uma página (às vezes hospedada em domínios de IA ou extensões de navegador) que simula um erro técnico e instrui, passo a passo, a copiar e colar um comando no terminal ou na caixa 'Executar' do Windows para 'corrigir' o problema. Como é a própria vítima quem executa o comando, várias proteções de bloqueio de download ou macro simplesmente não entram em ação.

O denominador comum das duas técnicas é que elas terceirizam a ação maliciosa para o usuário, contornando controles técnicos ao explorar hábito e confiança em vez de vulnerabilidade de software. Isso as torna particularmente relevantes para o contexto de fraude financeira, já que QR codes fraudulentos são amplamente usados para direcionar vítimas a páginas falsas de bancos, carteiras digitais e cobrança via Pix ou boleto.

A prevenção prática passa por tratar QR code como qualquer link não confiável — evitar escanear códigos em cartazes, e-mails ou embalagens de origem duvidosa, e conferir a URL de destino antes de inserir qualquer credencial — e nunca colar comandos fornecidos por uma página de erro em terminal ou executor de comandos, por mais convincente que pareça a instrução.