Quishing: phishing por QR code consegue driblar os filtros de segurança corporativos
Golpistas estão trocando links tradicionais por códigos QR em e-mails para escapar dos filtros antiphishing, já que a URL maliciosa fica codificada como imagem e não como texto analisável. A técnica empurra a vítima do ambiente corporativo, mais protegido, para o smartphone pessoal, onde há menos camadas de defesa, e é usada tanto para roubo de credenciais e tokens de MFA quanto para fraude financeira via aplicativos de pagamento com dados pré-preenchidos. O artigo cita que QR codes maliciosos já apareceram em cerca de 11% dos e-mails de phishing no primeiro semestre de 2026 e que o grupo Kimsuky já usou a tática em campanhas de espionagem.
O quishing (de "QR code" + "phishing") deixou de ser uma curiosidade e virou uma linha de ataque relevante em 2026: segundo o levantamento citado pelo artigo, códigos QR maliciosos já respondem por cerca de 11% dos e-mails de phishing no primeiro semestre do ano. O apelo para o atacante é simples — em vez de incluir um link clicável, ele embute a URL maliciosa dentro de uma imagem de QR code, anexada ao e-mail ou embutida em um PDF/JPEG. Como não há texto para analisar, boa parte dos filtros antiphishing tradicionais, que dependem de reputação de domínio e varredura de URLs em texto puro, simplesmente não enxerga a ameaça.
O efeito mais perigoso da técnica não é só a evasão do filtro, mas a mudança de "terreno" que ela provoca. Um funcionário que clicaria com cautela em um link no computador corporativo escaneia o QR code com o próprio celular, muitas vezes fora da rede e das ferramentas de segurança da empresa (EDR, proxy, DLP). A partir daí o golpe segue caminhos conhecidos: páginas de login clonadas para captura de credenciais e códigos de MFA, instalação de aplicativos falsos disfarçados de apps legítimos, ou — o ponto de maior risco para fraude financeira — redirecionamento para telas de pagamento com campos já preenchidos, induzindo a vítima a confirmar uma transferência ou autorizar um app malicioso pensando se tratar do fluxo real do banco ou da fintech. O artigo também menciona QR codes usados para conectar o dispositivo automaticamente a redes Wi-Fi fraudulentas e para injetar contatos/eventos maliciosos em agendas, ampliando a superfície de engenharia social subsequente.
Não é só golpe de varejo contra o consumidor final: o texto cita o grupo norte-coreano Kimsuky usando QR codes em campanhas de espionagem contra institutos de pesquisa e órgãos governamentais, o que mostra que a técnica já foi incorporada ao arsenal de atores mais sofisticados como forma de contornar defesas de e-mail corporativo antes de avançar para roubo de credenciais e movimentação lateral.
Na prática, a defesa precisa atacar as três camadas do problema. No lado técnico, isso significa soluções de e-mail que decodifiquem e analisem a URL escondida dentro da imagem do QR code (não apenas a presença da imagem), reforçar a segurança dos dispositivos móveis pessoais usados para acessar e-mail corporativo (MDM, verificação de app antes da instalação) e adotar MFA resistente a phishing (chaves FIDO2/passkeys), que não pode ser simplesmente repassado por uma tela de login clonada. No lado humano, o treinamento de conscientização precisa incluir explicitamente o quishing — a orientação prática é nunca escanear QR code recebido por e-mail não solicitado e, quando a origem parecer legítima (banco, RH, fornecedor), confirmar por um canal alternativo conhecido antes de escanear ou inserir qualquer dado de pagamento.