Em apenas um mês, as detecções de phishing com códigos QR cresceram 460% no Brasil. O salto, registrado entre janeiro e fevereiro, faz parte de um panorama inédito da ESET sobre as ameaças digitais detectadas no país durante o primeiro semestre de 2026. No período, o phishing liderou o cenário, com 35,9% de todas as detecções analisadas pela empresa, e os arquivos PDF fraudulentos foram a principal fonte de propagação desse tipo de golpe identificada, respondendo por 52% das detecções da categoria.
O quishing, como é conhecido, é um golpe que usa códigos QR para conduzir a vítima a páginas falsas, formulários de captura de dados ou arquivos maliciosos. O formato ajuda a esconder o endereço de destino e ainda transfere a interação para o celular, onde é mais difícil conferir a URL com atenção antes de acessar.
As detecções identificadas como QRCode/Phishing e QRCode/URL somaram 7,2% do volume de phishing no semestre. O avanço observado em fevereiro indica que um recurso incorporado à rotina de pagamentos, cardápios, entregas, eventos e autenticações também vem sendo aproveitado para tornar fraudes mais convincentes.
Evolução mensal das principais detecções de phishing no Brasil no primeiro semestre de 2026. A categoria QRCode/Phishing saltou de janeiro para fevereiro.
Fonte: telemetria da ESET
“O QR Code reduz uma etapa importante de avaliação da vítima, porque o endereço não está visível antes da leitura. A pessoa enxerga uma imagem familiar, escaneia e muitas vezes segue as instruções sem verificar para onde foi direcionada. O crescimento das detecções reforça a necessidade de tratar cada código recebido como um link: é preciso observar a origem, conferir o endereço aberto e desconfiar de qualquer pedido de senha, pagamento ou instalação”, explica Jonathan Ramos, pesquisador de segurança na ESET Brasil.
PDFs lideram e transformam situações cotidianas em iscas
Mesmo com o salto dos códigos QR, os PDFs foram a principal forma de phishing detectada no primeiro semestre: a categoria PDF/Phishing respondeu por 52% do volume. O formato se mistura facilmente às mensagens que as pessoas recebem todos os dias e costuma chegar com uma justificativa simples para provocar o clique.
O arquivo pode aparecer como a segunda via de um boleto que estaria prestes a vencer, uma nota fiscal de compra que a pessoa não reconhece, um comprovante de pagamento, uma cobrança em atraso ou um contrato aguardando assinatura. Em ambientes de trabalho, também pode simular um orçamento, currículo, pedido de cliente ou documento compartilhado por um colega. Ao abrir o PDF, a vítima pode encontrar um botão, link ou QR Code que a leva a uma página falsa para inserir senha, dados bancários ou outras informações pessoais, ou ainda ser induzida a baixar um arquivo malicioso.
Entre as marcas e plataformas usadas como isca nas campanhas observadas pela telemetria, a DocuSign apareceu em primeiro lugar, com 1,3% do volume de phishing, seguida por Telegram, com 0,5%, e WeTransfer, com 0,3%. A presença desses nomes não indica invasão de seus sistemas: os golpistas imitam a identidade visual e o tom das comunicações para fazer o conteúdo parecer legítimo.
Como se proteger de PDFs e QR Codes maliciosos
A aparência conhecida de um PDF ou de um QR Code não garante que o conteúdo seja seguro. Antes de agir, vale observar se a mensagem era esperada, conferir quem a enviou e buscar o suposto remetente por um canal oficial. A ESET recomenda alguns cuidados:
- Confira o endereço exibido após a leitura: Antes de prosseguir, verifique o domínio, possíveis erros de escrita e redirecionamentos inesperados.
- Desconfie de urgência e pressão: Pedidos para pagar imediatamente, confirmar uma conta ou evitar um suposto bloqueio são sinais frequentes de fraude.
- Evite códigos de origem desconhecida: Não escaneie imagens recebidas sem contexto por e-mail, aplicativos de mensagem ou redes sociais.
- Não forneça credenciais: Se a página pedir senha, dados bancários ou código de autenticação, interrompa o acesso e procure o canal oficial.
- Mantenha os dispositivos protegidos: Atualizações de segurança e uma solução de proteção ajudam a bloquear páginas e arquivos maliciosos.
“Os criminosos combinam formatos cotidianos com mensagens que parecem legítimas. Por isso, a proteção não depende apenas de reconhecer um golpe visualmente, mas de criar o hábito de interromper a ação e validar o pedido por outro canal. Alguns segundos de verificação podem impedir o roubo de credenciais, dados financeiros ou o comprometimento do dispositivo”, completa Ramos.
Imagem: https://pt.vecteezy.com/foto/71061590-digitalizacao-qr-codigo-com-movel-dispositivo-para-em-formacao-acesso
