Fraudes com códigos QR no top dez das ameaças por email em Portugal

As fraudes que recorrem a códigos QR, conhecidas como quishing, foram a sétima ameaça por email mais detetada em Portugal entre dezembro de 2025 e maio de 2026. Segundo a Eset, esta categoria representou 4,8% do total de deteções nacionais de ameaças por email durante o período analisado.

A nível global, a empresa indica que cerca de 11% de todos os emails de phishing detetados utilizavam códigos QR, com uma média de aproximadamente 100 mil deteções mensais. O pico de atividade foi registado em abril, atingindo o nível mais elevado desde que a Eset começou a monitorizar esta técnica de forma autónoma, em setembro de 2025.

O quishing consiste na utilização de códigos QR para ocultar ligações maliciosas que encaminham as vítimas para páginas fraudulentas, geralmente com o objetivo de roubar credenciais de acesso, dados financeiros ou outra informação sensível.

“O quishing é particularmente eficaz porque reduz a visibilidade do ataque. A ligação maliciosa não aparece diretamente no corpo do email e a interação passa frequentemente para um telemóvel, onde o utilizador pode não beneficiar dos mesmos controlos de segurança. Esta combinação aumenta significativamente a probabilidade de sucesso da fraude”, afirma Ricardo Neves, responsável de Comunicação da Eset Portugal.

Segundo a empresa, os atacantes fazem-se frequentemente passar por departamentos de recursos humanos ou por plataformas empresariais conhecidas, enviando mensagens que incluem um código QR em vez de uma ligação tradicional. Entre os temas utilizados encontram-se falsas comunicações sobre aumentos salariais, benefícios laborais, documentos para aprovação ou assinatura e notificações que imitam serviços como a DocuSign.

Após a leitura do código, o utilizador é encaminhado para um site fraudulento que reproduz a aparência de um serviço legítimo e solicita credenciais profissionais, dados bancários ou outras informações confidenciais.

A Eset alerta que uma das principais vantagens desta técnica para os atacantes é a transferência da interação do computador para o telemóvel. Embora o email possa ser recebido num equipamento protegido por soluções de segurança empresariais, o código QR é normalmente lido através de um dispositivo móvel pessoal, que poderá não dispor do mesmo nível de proteção.

Além disso, por estarem incorporadas numa imagem, as ligações maliciosas podem ser mais difíceis de identificar por alguns sistemas tradicionais de filtragem de email.

A utilização fraudulenta de códigos QR não se limita às mensagens eletrónicas. A Eset refere que os cibercriminosos também colocam códigos falsificados em locais públicos, como parquímetros, bicicletas partilhadas e outros serviços de pagamento. Foram igualmente identificadas campanhas com falsas multas de estacionamento e notificações fraudulentas de portagens, destinadas a recolher dados de cartões bancários.

Para reduzir o risco, a Eset recomenda que os utilizadores tratem qualquer código QR recebido por email ou mensagem com o mesmo nível de suspeita aplicado a uma ligação desconhecida. A empresa aconselha ainda as organizações a implementarem soluções capazes de analisar códigos QR, reforçarem a proteção dos dispositivos móveis e promoverem ações de sensibilização para este tipo de fraude.