Por que os Estelionatários Começaram a Enviar por Email Imagens de Links

Um scanner de links é uma coisa simples e implacável. Ele lê os URLs de texto no email, verifica-os contra listas de domínios conhecidos como malignos, segue redirecionamentos e sinaliza os que levam a algo prejudicial. É bom no que faz. Então os estelionatários fizeram o óbvio: pararam de enviar links.

Começaram a enviar imagens de links.

Esse é o truque por trás do "quishing" — phishing por código QR. Um código QR é uma URL codificada como uma imagem em preto e branco, então um destino como login-verify.example deixa de ser texto no corpo da mensagem e se torna pixels. O ponto não é que o endereço esteja criptografado; a câmera de qualquer pessoa o decodifica instantaneamente. O ponto é que ele não está mais escrito em lugar algum onde você, ou um analisador de texto, possa ler antes de se comprometer.

Se um filtro ainda consegue ler depende inteiramente do produto. O National Cyber Security Centre do Reino Unido coloca o limite em palavras cuidadosas em sua nota de fevereiro de 2024 sobre códigos QR: "Nem todas as ferramentas de segurança projetadas para detectar emails de phishing verificarão imagens." Note o que isso não diz. Não diz que nenhuma delas faz. A Microsoft publicou o outro lado disso em novembro de 2024: Defender for Office 365, escreveu, "melhorou suas capacidades de extrair URLs de códigos QR," usando processamento de imagem no início do fluxo de correio para "extrair e registrar URLs ocultas em códigos QR," e agora também extrai metadados de QR e procura pelo padrão circundante — corpo mínimo de texto, isca de marca, cadeia de redirecionamento. Então "o filtro não consegue ler" era verdadeiro para muitos produtos por um tempo, ainda é verdadeiro para alguns, e não é uma lei da natureza. Se você quer saber se é verdadeiro para seu próprio email, essa é uma pergunta sobre o produto e a configuração do seu provedor, não sobre códigos QR.

Os números que são verificáveis vêm do mesmo fornecedor, e valem a pena ser lidos com o escopo anexado. O post de novembro de 2024 da Microsoft descreve um surto com "alguns ataques aumentando a uma taxa de crescimento de 270% ao mês," diz que "no pico, Defender for Office 365 estava bloqueando 3 milhões de tentativas diariamente," e que após o trabalho de detecção ser implementado "vimos esse número diminuir para 200.000 tentativas de phishing por código QR todos os dias." O Relatório de Defesa Digital 2026 da Microsoft coloca um total na escala atual: 145+ milhões de ataques de phishing por código QR detectados entre julho de 2025 e junho de 2026 pelo Defender for Office 365. Todos esses números são telemetria de um fornecedor para seu próprio produto, autorrelatados. Não são uma parcela de todo phishing, e não são um total da indústria — uma versão anterior deste artigo citava uma parcela de 25% que nenhuma publicação da Microsoft parece apoiar, e essa figura foi removida em vez de ser substituída.

O que torna a técnica durável é a transferência, não a codificação. O email chega em um laptop, onde vivem o filtro corporativo, o navegador gerenciado e o gerenciador de senhas. O código é escaneado em um telefone, que geralmente é um dispositivo pessoal. O NCSC lista isso entre os motivos pelos quais os criminosos favorecem o método: "Dispositivos pessoais podem não ter as mesmas proteções de segurança que um computador fornecido pelo seu empregador." Em um telefone, a barra de endereço é truncada, a URL completa é difícil de inspecionar, e um gerenciador de senhas que teria recusado o preenchimento automático no domínio errado não está envolvido em absoluto.

Os temas são entediantemente previsíveis, o que é uma pista em si, e aparecem nos avisos ao consumidor quase palavra por palavra. O alerta de dezembro de 2023 da FTC descreve estelionatários cobrindo o código QR real em um parquímetro com seu próprio adesivo, e avisa claramente: "Não escaneie um código QR em um email ou mensagem de texto que você não esperava," especialmente um que o pressiona a agir imediatamente. O anúncio de serviço público da IC3 do FBI de janeiro de 2022 diz o mesmo sobre adulteração — "Criminosos cibernéticos adulterão códigos QR digitais e físicos para substituir códigos legítimos por códigos malignos" — e diz às pessoas para verificar códigos físicos por "um adesivo colocado sobre o código original." Um código para reabilitar autenticação multifator expirada, uma solicitação de assinatura que você não esperava, um aviso de envio pedindo para você confirmar a entrega: o objetivo do design é sempre uma pequena razão plausível para levantar o telefone antes que qualquer coisa seja verificada.

Então os movimentos defensivos são os entediantes, e são os que as agências realmente publicam. O conselho da IC3, para uma mensagem que quer um pagamento ou um login após uma verificação: "ligue para a empresa para verificar," usando "o número de telefone da empresa através de um site confiável em vez de um número fornecido no email," e "evite fazer pagamentos através de um site para o qual você navegou a partir de um código QR. Em vez disso, insira manualmente uma URL conhecida e confiável." Nada disso exige que você julgue se um quadrado particular é malicioso — que é a parte em que nenhum humano é bom.

Uma coisa que um código QR em um email nunca lhe diz é se a mensagem foi falsificada. A autenticação de domínio responde uma pergunta completamente diferente, e a especificação DMARC atual coloca explicitamente "análise de conteúdo" fora de seu escopo — e é por isso que uma mensagem totalmente autenticada pode carregar uma imagem maliciosa. Esse mecanismo vale a pena ser lido por conta própria, e é o assunto de um artigo complementar nesta série.

Correção, 20 de outubro de 2026. Uma versão anterior deste artigo dizia que um filtro de spam não consegue ler um código QR e que scanners são cegos para o endereço codificado. Isso é verdadeiro para alguns produtos de segurança de email e não para outros: Microsoft documentou a extração de URL de códigos QR em Defender for Office 365 em novembro de 2024, e a redação do NCSC é que nem todas as ferramentas verificam imagens. O artigo também citava uma figura de aproximadamente 25% de phishing por email usando códigos QR, atribuída à Microsoft; nenhuma publicação da Microsoft apoiando essa parcela pôde ser encontrada, então a figura foi removida e substituída por figuras que a Microsoft publica diretamente, com seu produto e período declarados. Um domínio de phishing de demonstração que havia sido renderizado como um link ativo foi substituído por um exemplo não clicável no namespace .example reservado, e uma citação à página inicial do CISA foi substituída pelos avisos específicos do FBI IC3 e FTC.