Os Códigos QR Podem Ser Maliciosos — Como Verificá-los em Segurança Primeiro

Os códigos QR passaram de um truque de marketing pouco usado a algo verdadeiramente omnipresente — menus, pagamentos de estacionamento, check-ins em eventos, rastreio de encomendas. É precisamente essa omnipresença que os torna uma ferramenta útil de phishing: um autocolante QR malicioso colado por cima de um código legítimo parece idêntico ao original até o telemóvel o abrir.

Como é o 'phishing por QR' (quishing)

• Um autocolante colado por cima de um código QR real num parquímetro, a levar a uma página de pagamento falsa.
• Um código QR num email que passa por um link encurtado até um site de recolha de credenciais.
• Um código num panfleto ou cartaz que promete desbloquear um desconto, mas que na realidade instala algo indesejado.

Pré-visualizar antes de abrir

O Leitor de QR da Filenary lê o código a partir de uma foto carregada e mostra-lhe o conteúdo em bruto — normalmente um URL — sem o abrir automaticamente no seu navegador. É precisamente nesse intervalo entre a leitura e o clique que consegue analisar o domínio e decidir se é mesmo aquele que esperava.

Uma nota sobre suporte de navegadores

Esta ferramenta utiliza a API nativa BarcodeDetector, incorporada nos navegadores baseados em Chromium (Chrome, Edge). O Firefox e o Safari ainda não implementaram esta API, pelo que a leitura de momento só funciona em navegadores Chromium — a ferramenta avisa-o claramente se o seu navegador não for suportado, em vez de falhar em silêncio.

O que realmente deve verificar

Assim que vir o URL descodificado, observe o domínio da mesma forma que faria perante um email suspeito: corresponde à empresa que espera, ou trata-se de um domínio parecido mas falso, de um endereço IP em bruto, ou de um encurtador sem qualquer relação?