As detecções de phishing com códigos QR cresceram 460% no Brasil entre janeiro e fevereiro de 2026, segundo dados da ESET. O avanço faz parte do panorama das ameaças digitais identificadas pela empresa no país durante o primeiro semestre do ano.
No período, o phishing respondeu por 35,9% de todas as detecções analisadas pela ESET. Entre os formatos utilizados nas campanhas, os arquivos PDF fraudulentos foram responsáveis por 52% das detecções de phishing.
Conhecido como quishing, o golpe utiliza códigos QR para direcionar vítimas a páginas falsas, formulários de captura de dados ou arquivos maliciosos. O formato pode dificultar a identificação do endereço de destino antes da interação e transferir o acesso para o celular, onde a URL pode receber menos atenção do usuário.
As categorias QRCode/Phishing e QRCode/URL somaram 7,2% do volume de phishing registrado no semestre. O crescimento observado em fevereiro envolve um recurso presente em atividades como pagamentos, cardápios, entregas, eventos e autenticações, que também pode ser utilizado em campanhas fraudulentas.
“O QR Code reduz uma etapa importante de avaliação da vítima, porque o endereço não está visível antes da leitura. A pessoa enxerga uma imagem familiar, escaneia e muitas vezes segue as instruções sem verificar para onde foi direcionada. O crescimento das detecções reforça a necessidade de tratar cada código recebido como um link: é preciso observar a origem, conferir o endereço aberto e desconfiar de qualquer pedido de senha, pagamento ou instalação”, explica Jonathan Ramos, pesquisador de segurança na ESET Brasil.
PDFs concentram mais da metade das detecções
Apesar do crescimento dos ataques com códigos QR, os PDFs foram a principal forma de phishing identificada pela ESET no primeiro semestre. A categoria PDF/Phishing respondeu por 52% do volume registrado no período.
O formato pode ser incorporado a mensagens que simulam situações cotidianas, como uma segunda via de boleto, nota fiscal, comprovante de pagamento, cobrança em atraso ou contrato para assinatura.
No ambiente corporativo, os arquivos também podem se apresentar como orçamentos, currículos, pedidos de clientes ou documentos compartilhados por colegas. Ao abrir o PDF, o usuário pode encontrar um botão, link ou QR Code que direciona para uma página falsa destinada à coleta de senhas, dados bancários e outras informações pessoais. Em alguns casos, a interação pode levar ainda ao download de arquivos maliciosos.
Entre as marcas e plataformas utilizadas como isca nas campanhas observadas pela telemetria da ESET, a DocuSign apareceu com 1,3% do volume de phishing, seguida por Telegram, com 0,5%, e WeTransfer, com 0,3%.
A utilização dessas marcas não indica invasão de seus sistemas. Segundo a ESET, os criminosos imitam elementos visuais e o tom das comunicações dessas empresas e plataformas para conferir aparência de legitimidade às mensagens.
Verificação ajuda a evitar golpes
A aparência familiar de um PDF ou QR Code não é suficiente para determinar se o conteúdo é seguro. A ESET recomenda verificar se a mensagem era esperada, conferir a origem do contato e procurar o suposto remetente por um canal oficial antes de realizar qualquer ação.
Após escanear um código, também é importante conferir o endereço aberto, observando o domínio, possíveis erros de escrita e redirecionamentos inesperados. Mensagens que criam senso de urgência, solicitam pagamentos imediatos, pedem confirmação de contas ou ameaçam bloqueios também exigem atenção.
A recomendação é evitar códigos recebidos sem contexto por e-mail, aplicativos de mensagem ou redes sociais e não inserir credenciais, dados bancários ou códigos de autenticação em páginas acessadas dessa forma. Manter os dispositivos atualizados e protegidos também pode ajudar na identificação de páginas e arquivos maliciosos.
“Os criminosos combinam formatos cotidianos com mensagens que parecem legítimas. Por isso, a proteção não depende apenas de reconhecer um golpe visualmente, mas de criar o hábito de interromper a ação e validar o pedido por outro canal. Alguns segundos de verificação podem impedir o roubo de credenciais, dados financeiros ou o comprometimento do dispositivo”, completa Ramos.
