Os ataques através de códigos QR aumentam 146% em dois meses

Uma das tendências particularmente preocupantes na evolução recente do phishing é o aumento dos ataques baseados em códigos QR. Estes ataques não dependem de novo malware nem de exploits sofisticados. Em vez disso, tiram partido de algo muito mais simples: a confiança que os utilizadores depositam diariamente nos códigos QR. Nos últimos meses, os códigos QR tornaram-se uma das técnicas mais utilizadas para encaminhar utilizadores para sites maliciosos em dispositivos móveis ou em ambientes de navegação, onde a visibilidade de muitas ferramentas de segurança é muito limitada.

Os dados confirmam que estamos perante algo mais do que uma tendência passageira. De acordo com a Microsoft Threat Intelligence, as campanhas de quishing aumentaram de 7,6 milhões em janeiro para 18,7 milhões em março de 2026, o que representa um aumento de 146% em apenas dois meses. O mais relevante não é o número em si, mas aquilo que revela sobre a forma como os agentes de ameaça estão a alterar as suas táticas: os atacantes estão a descobrir que os códigos QR são uma forma cada vez mais eficaz de contornar as defesas tradicionais contra o phishing e chegar aos utilizadores através de processos que estes consideram legítimos e de confiança.

Para as organizações que procuram proteger as suas redes e dados, esta realidade representa um desafio crescente. Como podemos garantir que os nossos colaboradores e utilizadores permanecem seguros?

Porque estão os atacantes a recorrer aos códigos QR?

O crescimento destas campanhas reflete uma mudança clara na forma como os ataques de phishing são concebidos. Embora o roubo de credenciais continue a ser o principal objetivo, os atacantes estão a alterar a forma como atuam. Em vez de dependerem de sinais de alerta facilmente identificáveis, procuram integrar-se nas rotinas diárias dos utilizadores, aproveitando comportamentos que estes executam quase de forma automática.

Os códigos QR são particularmente eficazes porque fazem parte do nosso quotidiano. Utilizamo-los para aceder a serviços digitais, efetuar pagamentos e concluir processos de autenticação. Por serem tão familiares, raramente os analisamos com o mesmo nível de atenção que dedicamos a uma ligação recebida por e-mail.

Além disso, estas campanhas seguem normalmente uma estratégia previsível:

• Tirar partido de ferramentas e formatos familiares para criar confiança.
• Encaminhar os utilizadores para sites de phishing convincentes.
• Recolher credenciais ou tokens de autenticação.
• Transferir o ataque para fora do ambiente de e-mail, onde a visibilidade é limitada.

Para as vítimas, a experiência parece completamente normal, mesmo quando a origem é uma campanha de phishing.

Um desafio crescente para as equipas de segurança

Neste tipo de ataque, o código QR é apenas o ponto de entrada. O verdadeiro risco surge mais tarde, quando o utilizador interage com o site malicioso.

Para as equipas de segurança, já não é suficiente sinalizar apenas mensagens suspeitas, uma vez que a atividade crítica ocorre em ambientes onde é muito mais difícil obter contexto imediato.

E, quando as credenciais são comprometidas, os agentes de ameaça podem obter acesso a aplicações empresariais, dados sensíveis e serviços internos sem necessitarem de malware complexo.

Por isso, estas equipas já não devem perguntar apenas como é que o atacante conseguiu entrar, mas também o que acontece depois de o utilizador interagir com a ameaça.

Porque é que a visibilidade se tornou o novo campo de batalha do phishing

É por esta razão que o endpoint continua a ser uma das camadas mais importantes da defesa moderna. Quando um ataque baseado num código QR é bem-sucedido, o dispositivo é normalmente o primeiro local onde surgem sinais de que algo está errado. Consequentemente, à medida que o ataque evolui, torna-se fundamental ter visibilidade sobre o que está a acontecer no dispositivo.

A proteção tradicional de endpoints, centrada exclusivamente na prevenção, já não é suficiente. As organizações precisam de soluções modernas de segurança de endpoints que combinem prevenção, deteção e resposta com uma visibilidade contínua da atividade nos dispositivos. Ao analisarem comportamentos, e não apenas indicadores conhecidos, estas soluções conseguem identificar atividades suspeitas, correlacionar automaticamente eventos relacionados e fornecer às equipas o contexto necessário para distinguir uma atividade normal de um ataque real.

Isto permite obter capacidades essenciais, tais como:

• Deteção mais rápida de atividades maliciosas num dispositivo.
• Maior visibilidade sobre o que acontece após a interação inicial.
• Redução do ruído através da correlação automática de incidentes.
• Resposta rápida para conter os incidentes antes que se propaguem.

É também importante salientar o papel fundamental do threat hunting. À medida que os atacantes se tornam mais eficazes a dissimular-se no meio de atividades aparentemente legítimas, a capacidade de procurar proactivamente indicadores de comprometimento (IoCs) deixa de ser uma mais-valia e passa a ser uma necessidade absoluta. Para organizações mais pequenas que não dispõem de recursos internos para gerir esta atividade, estabelecer uma parceria com um fornecedor de MDR pode ajudar a colmatar esta lacuna.

Esta visibilidade permite às equipas detetar muito mais rapidamente acessos não autorizados, movimentos laterais e IoCs numa fase inicial, reduzindo o intervalo entre a intrusão e a resposta.

Um dos aspetos mais interessantes dos incidentes de quishing é demonstrarem que os agentes de ameaça já não precisam de recorrer a técnicas extraordinariamente sofisticadas para serem bem-sucedidos. Limitam-se a explorar hábitos do dia a dia, tirando partido dos momentos em que baixamos a guarda.

Consequentemente, as necessidades passam a centrar-se na capacidade de monitorizar o que acontece depois da interação inicial. É precisamente nesse momento, quando a atividade parece legítima, que se estabelece a diferença entre um evento de rotina e o início de uma falha de segurança.

O quishing demonstra a nova realidade: os atacantes nem sempre precisam de malware sofisticado para serem bem-sucedidos. Ao explorarem comportamentos de confiança dos utilizadores, conseguem contornar as defesas tradicionais e transferir o ataque para áreas com visibilidade limitada. É por isso que as organizações devem garantir que dispõem de uma proteção robusta dos endpoints. A capacidade de observar a atividade nos dispositivos, correlacionar eventos e responder rapidamente é cada vez mais determinante para definir se um ataque permanece um incidente isolado ou evolui para uma falha de segurança de grande escala.