QR Code é seguro? Golpes com QR Code e como evitar

Como funcionam os golpes com QR Code

O truque é sempre o mesmo: um QR Code com cara de oficial leva você para onde você não esperava. Variações comuns:

• Adesivos colados sobre códigos verdadeiros em parquímetros, carregadores, bicicletas e patinetes compartilhados, mesas de restaurante ou cartazes, levando a uma página de pagamento falsa.
• E-mails e cartas com QR Code (“Sua encomenda está esperando”, “Confirme sua conta bancária”, “Sua senha expira hoje”) que abrem uma página de login falsa.
• Boletos ou multas falsos no para-brisa ou na caixa de correio, com um código para pagar, inclusive QR Codes de Pix que mandam o dinheiro para o golpista.
• Códigos que fazem mais do que abrir uma página: iniciam uma ligação ou SMS para um número caro, conectam a um Wi-Fi desconhecido ou instalam um app.

Antes de abrir um link escaneado

O celular mostra o endereço antes de abrir. Leve dois segundos para ler.

• O endereço bate com quem supostamente está por trás? Um banco, uma empresa de estacionamento ou uma loja deve usar o seu próprio domínio conhecido, e não um nome estranho, letras aleatórias ou um truque de grafia como paypa1.
• É um link encurtado (bit.ly e parecidos) em algo que pede pagamento? Tenha cuidado redobrado, porque você não vê o destino real.
• O código é um adesivo colado sobre outro código? Olhe com atenção, principalmente em tudo que envolve pagamento.
• Chegou sem você esperar por e-mail, carta ou SMS? Não escaneie. Vá você mesmo ao site ou ao app da empresa.
• É um Pix? Antes de confirmar, confira o nome de quem vai receber o dinheiro.

Sinais de alerta depois de abrir

• A página pede senha, PIN, número do cartão ou login do banco quando você só queria ver um cardápio ou pagar o estacionamento.
• Ela pressiona você: “Pague em até 24 horas”, “Sua conta será bloqueada”.
• Ela pede para você instalar um app ou uma “atualização de segurança”.
• Ela abre um SMS ou uma ligação para um número que você não conhece.

Para pagar em lugares públicos, o caminho mais seguro é o app oficial da operadora ou a própria máquina de pagamento, e não um código que você não consegue conferir.

Se você já passou seus dados

1. Dados do cartão ou do banco: ligue para o banco na hora e bloqueie o cartão. Confira os últimos pagamentos. Se fez um Pix, entre em contato com o banco o quanto antes e solicite a abertura do Mecanismo Especial de Devolução (MED). A devolução depende da análise do caso e da existência de saldo nas contas envolvidas.
2. Uma senha: troque no site verdadeiro e em todo lugar onde você usa a mesma senha. Ative a verificação em duas etapas.
3. Instalou um app: desinstale e rode a verificação de segurança do celular.
4. Denuncie à empresa cujo nome foi usado e registre um boletim de ocorrência (muitos estados permitem fazer pela internet); na Estônia, avise o CERT-EE. Avise também o responsável pelo lugar onde você encontrou um adesivo falso.

Para empresas: crie QR Codes em que as pessoas confiam

À medida que esses golpes ficam conhecidos, clientes cuidadosos hesitam antes de escanear. Estes hábitos fazem seus códigos parecerem confiáveis e continuarem assim:

• Faça os códigos apontarem para o seu próprio domínio (sualoja.com.br/cardapio), para o endereço que as pessoas veem ser claramente seu.
• Imprima também o endereço do site ao lado do código, para as pessoas poderem comparar. A opção de descrição do gerador adiciona texto embaixo do código.
• Use códigos estáticos. Códigos de serviços de QR Code dinâmico passam pelo servidor de outra empresa, que depois pode mostrar outro conteúdo. Veja QR Code estático e dinâmico.
• Coloque seu logotipo no código (configurações do gerador → Logotipo no centro), para um simples adesivo por cima chamar atenção.
• Dificulte a adulteração: coloque os códigos atrás de vidro ou plastifique, ou imprima como parte da placa em vez de um adesivo separado.
• Confira os códigos em locais públicos com frequência, principalmente tudo que envolve pagamento, e escaneie você mesmo de vez em quando.
• Nunca peça senhas nem dados do cartão na página que um código abre, a menos que o cliente claramente espere pagar ali.

Mais: como escanear um QR Code no iPhone e no Android.

Quer ver para onde um código leva sem abrir? Cole uma captura de tela no leitor de QR Code.