Como conferir um QR Code antes de abrir um link

QR Codes facilitam tarefas cotidianas como consultar cardápios, acessar páginas, entrar em eventos e iniciar pagamentos. Essa praticidade, porém, também pode ser explorada em golpes. O código esconde o endereço que será acessado e, se a pessoa tocar no link sem verificá-lo, pode acabar em uma página falsa.

A FTC, órgão de defesa do consumidor dos Estados Unidos, alerta para golpes nos quais criminosos colocam seus próprios QR Codes sobre códigos legítimos, inclusive em locais públicos. Também existem campanhas que enviam códigos por e-mail ou mensagem e tentam criar urgência para convencer a vítima a acessá-los.

Por isso, a regra mais importante é simples: escanear um QR Code não deve significar abrir imediatamente o endereço apresentado. Confira primeiro para onde ele pretende levar você.

O que acontece quando você escaneia um QR Code?

Um QR Code pode armazenar diferentes tipos de informação. Em muitos casos, ele contém um endereço de internet.

Ao apontar a câmera do celular para o código, o aparelho interpreta essa informação e oferece uma opção para acessar o conteúdo. No iPhone, por exemplo, a Apple orienta posicionar o código na câmera e depois tocar no link apresentado para abri-lo.

Essa etapa intermediária é importante.

Se o aparelho mostrar o endereço antes da abertura, aproveite esse momento para examiná-lo. Não toque automaticamente na notificação apenas porque o QR Code está em um restaurante, estacionamento, cartaz ou estabelecimento aparentemente confiável.

Confira o endereço exibido antes de tocar

A FTC recomenda inspecionar o endereço apresentado pelo leitor de QR Code antes de abri-lo. É importante procurar erros de grafia, letras trocadas e outras alterações que façam um endereço falso parecer legítimo.

Imagine que você espera acessar o site de determinada empresa. O endereço apresentado deve corresponder ao domínio oficial utilizado por ela.

Golpistas podem registrar endereços visualmente semelhantes ao verdadeiro, utilizando pequenas alterações que passam despercebidas em uma leitura rápida.

Preste atenção principalmente ao domínio, ou seja, à parte central que identifica o site.

Não confie apenas porque o endereço começa com HTTPS

A presença de uma conexão HTTPS é importante, mas não comprova que uma página pertence à empresa que você imagina.

O próprio Google ressalta que, mesmo quando a conexão com um site é considerada segura, o usuário deve verificar o nome apresentado na barra de endereço antes de compartilhar informações pessoais.

Isso acontece porque HTTPS protege a comunicação entre seu dispositivo e aquele site. Um golpista também pode configurar HTTPS em uma página falsa.

Portanto, é preciso verificar quem está por trás do endereço, e não somente se existe um indicador de conexão protegida.

Desconfie de QR Codes colados sobre outros códigos

Esse cuidado é especialmente importante em locais públicos.

Antes de escanear um QR Code impresso, observe fisicamente o material. Veja se existe um adesivo colocado por cima de outro código, sinais de alteração ou impressão que pareça diferente do restante da placa.

A FTC relata justamente golpes envolvendo códigos falsos colocados sobre QR Codes legítimos, incluindo códigos utilizados para pagamento de estacionamento.

Se perceber qualquer sinal de adulteração, não utilize aquele código.

Procure outro meio para realizar a operação ou confirme diretamente com o estabelecimento.

Cuidado redobrado com QR Codes para pagamentos

Um QR Code relacionado a dinheiro exige atenção adicional.

Antes de confirmar uma operação, confira todas as informações que seu banco ou aplicativo de pagamento apresentar. Se os dados não corresponderem ao estabelecimento ou à pessoa esperada, não prossiga.

Não se deixe pressionar por uma fila, cronômetro, mensagem de urgência ou pessoa insistindo para que a transação seja concluída rapidamente.

Em situações de dúvida, pergunte ao responsável pelo estabelecimento qual é o procedimento oficial de pagamento.

Quando for possível acessar o serviço diretamente pelo aplicativo oficial, essa alternativa pode evitar depender de um código cuja origem você não conseguiu confirmar.

QR Code recebido por e-mail ou mensagem merece desconfiança

QR Codes não precisam estar impressos para serem utilizados em golpes.

Eles também podem chegar por e-mail, SMS e aplicativos de mensagens. A FTC alerta especialmente para códigos inesperados acompanhados de mensagens que tentam convencer a pessoa de que precisa agir imediatamente.

O golpe pode afirmar, por exemplo, que houve um problema com determinada conta ou que alguma informação precisa ser confirmada urgentemente.

Nessas situações, não utilize o QR Code recebido.

Se a mensagem disser que existe um problema com sua conta, abra diretamente o aplicativo oficial da empresa ou digite você mesmo o endereço conhecido do serviço no navegador.

Essa abordagem evita utilizar o caminho fornecido pelo possível golpista.

Desconfie quando a página pedir senha imediatamente

Suponha que você escaneou o código e acabou abrindo a página.

Se ela solicitar imediatamente e-mail, senha, dados bancários, documento ou outras informações sensíveis, interrompa a operação até confirmar que está realmente no serviço correto.

Páginas de phishing podem reproduzir a aparência de sites conhecidos justamente para capturar credenciais.

O Google informa que a Navegação Segura do Chrome oferece proteção contra phishing, malware e outras ameaças. Dependendo do nível de proteção configurado, o navegador pode apresentar avisos sobre páginas potencialmente perigosas.

Um alerta do navegador não deve ser ignorado apenas porque o QR Code parecia legítimo.

O navegador não consegue detectar todos os golpes

Recursos de segurança do navegador são uma camada adicional de proteção, mas não substituem a atenção do usuário.

Uma página fraudulenta recém-criada pode ainda não ter sido identificada pelos sistemas de proteção. Por isso, a ausência de um aviso não deve ser interpretada como garantia absoluta de segurança.

No Chrome, a Proteção padrão da Navegação Segura oferece alertas contra ameaças conhecidas, enquanto a Proteção reforçada utiliza verificações adicionais para tentar identificar também potenciais novas ameaças.

Independentemente da configuração escolhida, continue verificando o endereço e o contexto em que recebeu o código.

Preciso instalar um aplicativo para ler QR Codes?

Em celulares modernos, normalmente não há necessidade de instalar um leitor desconhecido apenas para realizar essa tarefa.

No iPhone e iPad, por exemplo, a Apple oferece leitura pelo aplicativo Câmera e pelo Scanner de Código do próprio sistema.

Em outros aparelhos, a disponibilidade e o funcionamento dependem do fabricante e da versão do sistema.

Antes de instalar um aplicativo apenas para ler QR Codes, verifique se o próprio aparelho já possui essa função. Isso evita instalar software desnecessário e conceder permissões adicionais a aplicativos de terceiros.

O que verificar antes de abrir

Ao encontrar um QR Code, uma sequência curta de verificações pode evitar muitos problemas:

Observe se o código físico parece ter sido adulterado.
Escaneie sem tocar imediatamente no endereço apresentado.
Leia o domínio com atenção.
Procure letras trocadas, erros de grafia e endereços estranhos.
Considere se aquele destino faz sentido para o contexto.
Desconfie de pedidos inesperados de senha ou dados bancários.
Se houver dúvida, acesse o serviço diretamente pelo aplicativo ou site oficial.

A FTC também recomenda manter o sistema operacional do telefone atualizado e proteger as contas com senhas fortes e autenticação multifator.

E se eu já tiver aberto um QR Code suspeito?

Abrir um endereço suspeito exige atenção, mas as medidas seguintes dependem do que aconteceu depois.

Se você apenas abriu a página e percebeu algo estranho, feche-a e não forneça informações nem faça downloads.

Se digitou uma senha em uma página que acredita ser falsa, altere essa senha imediatamente no serviço verdadeiro. Caso tenha reutilizado a mesma credencial em outras contas, substitua-a também nesses serviços.

A FTC recomenda trocar credenciais fornecidas a um site falso e verificar movimentações bancárias e de cartão quando houver possibilidade de comprometimento financeiro.

Se você forneceu dados de pagamento, entre diretamente em contato com a instituição financeira pelos canais oficiais e monitore as movimentações.

Também mantenha o sistema operacional e os aplicativos atualizados.

A melhor proteção acontece antes do clique

O QR Code não precisa ser tratado como algo perigoso por definição. Ele é apenas uma maneira prática de transportar informações. O problema é que seu conteúdo não fica imediatamente visível para uma pessoa olhando para aqueles quadrados.

Essa característica torna a verificação do endereço especialmente importante.

Criar o hábito de gastar alguns segundos lendo o destino antes de tocar pode impedir que a conveniência do QR Code seja utilizada contra você. Em pagamentos, mensagens inesperadas ou códigos encontrados em locais públicos, essa pequena conferência deve ser ainda mais cuidadosa.