A cibersegurança não depende apenas da tecnologia que
utilizamos para proteger computadores e telemóveis. Depende também das decisões
que tomamos todos os dias. Um clique numa ligação, a introdução de uma palavra
passe numa página aparentemente legítima ou a leitura de um código QR podem
parecer ações banais, mas são muitas vezes o primeiro passo de uma fraude.
O phishing continua a explorar essa combinação entre
tecnologia, confiança e comportamento humano. O objetivo pode ser roubar
credenciais, obter informação financeira, instalar software malicioso ou
simplesmente convencer a vítima a realizar uma ação que beneficia o atacante.
Nos últimos meses, uma das evoluções mais visíveis desta
técnica tem sido o quishing, ou seja, a utilização de códigos QR em campanhas
de phishing.
A lógica é simples. Em vez de apresentar diretamente uma
ligação maliciosa num email ou numa mensagem, o atacante coloca essa ligação
dentro de um código QR. Quando a vítima o lê com o telemóvel, é encaminhada
para uma página fraudulenta que pode imitar um banco, uma plataforma de
pagamentos, um serviço de correio eletrónico, uma empresa de entregas ou outro
serviço conhecido.
Há duas razões que ajudam a explicar a eficácia desta
técnica. A primeira é que o código QR esconde o endereço para onde vamos ser
encaminhados. A segunda é que muitas vezes transfere a interação do computador,
que pode estar protegido pelas ferramentas de segurança da empresa, para um
telemóvel pessoal, onde esses controlos podem não existir.
Os dados mostram que já não estamos perante uma ameaça
residual. De acordo com o Relatório de Ameaças da ESET relativo ao primeiro
semestre de 2026, foram registadas, a nível global, cerca de 100 mil deteções
de quishing por mês. Aproximadamente 11% dos emails de phishing detetados pela
ESET utilizavam códigos QR. Em Portugal, esta categoria representou 4,8% das
deteções de ameaças por email e foi a sétima mais detetada no país.
Mas os números, por si só, não explicam o problema.
O que torna o quishing particularmente eficaz é o facto de
se misturar com os nossos hábitos. Um código QR colocado num contexto familiar
tende a gerar menos desconfiança do que uma ligação desconhecida. E quando
surge associado a um pedido urgente, a uma fatura, a uma alteração de salário,
a um documento para consultar ou a um pagamento pendente, a pressão para agir
rapidamente aumenta.
Por isso, a primeira regra deve ser muito simples: um código
QR deve ser tratado com o mesmo cuidado que qualquer ligação recebida por
email, mensagem ou redes sociais.
Antes de introduzir dados pessoais, credenciais ou
informação financeira, é importante verificar o endereço apresentado pelo
telemóvel e confirmar se corresponde realmente ao serviço que pretendemos
utilizar. Quando o pedido é inesperado, deve ser confirmado através de outro
canal. E se uma página pedir informação que normalmente não seria necessária
naquele contexto, o mais prudente é interromper o processo.
Esta atenção é igualmente importante nas empresas, sobretudo
nas pequenas e médias organizações, onde uma conta comprometida pode ter
consequências muito além do utilizador afetado. O acesso a um correio
eletrónico empresarial, por exemplo, pode ser utilizado para tentar chegar a
colegas, clientes ou fornecedores através de mensagens que parecem
perfeitamente legítimas.
Aqui, a responsabilidade não pode recair apenas sobre quem
recebe a mensagem. As organizações devem combinar a sensibilização dos
colaboradores com medidas técnicas como autenticação multifator, proteção do
email, gestão de vulnerabilidades, atualização dos sistemas e soluções capazes
de identificar comportamentos suspeitos.
A formação continua a ser essencial, mas não porque seja
possível transformar cada colaborador num especialista em cibersegurança. O
objetivo é outro: criar hábitos simples que façam com que uma situação
inesperada provoque uma segunda verificação antes de uma ação.
É também importante abandonar a ideia de que estas fraudes
acontecem apenas a grandes empresas ou a pessoas pouco familiarizadas com
tecnologia. O phishing funciona precisamente porque explora comportamentos
universais: confiança, curiosidade, urgência, distração e rotina.
À medida que os nossos hábitos digitais evoluem, os métodos
utilizados pelos criminosos evoluem com eles. O quishing é apenas um exemplo
dessa adaptação.
A resposta não passa por deixar de utilizar códigos QR ou
por desconfiar de toda a tecnologia. Passa por evitar que a conveniência
elimine completamente a nossa capacidade de questionar aquilo que temos à
frente.
Num mundo em que cada vez mais serviços começam com um
clique, uma mensagem ou um código no ecrã, alguns segundos para verificar antes
de confiar continuam a ser uma das medidas de segurança mais simples e eficazes
que temos ao nosso alcance.
Artigo de opinião de Ricardo Neves, ESET Portugal























.jpg)
.jpg)
.jpg)







