Quishing: como os burlões abusam dos códigos QR — e como reconhecer os códigos seguros

O bilhete de estacionamento está pago, julga-se — na verdade, os dados do cartão de crédito acabaram de aterrar no servidor de burlões. Quem o tornou possível foi um autocolante: um código QR falsificado, colado por cima do código verdadeiro do parquímetro. «Quishing» chama-se esta burla, uma palavra formada a partir de QR e phishing. Os centros de defesa do consumidor e as autoridades policiais avisam há já algum tempo para casos destes em parquímetros, em postos de carregamento e em cartas bancárias falsificadas. Não é motivo para pânico — mas é motivo para rever os próprios hábitos de leitura.

Porquê justamente os códigos QR? Porque são o esconderijo perfeito. Uma ligação num e-mail pode ler-se antes de se clicar nela; um código QR é, para o olho humano, um padrão sem significado. Para onde leva, só se sabe depois da leitura. A isso junta-se o contexto: um código num equipamento oficial herda a credibilidade desse equipamento — quase ninguém conta que a câmara municipal tenha sido tapada com um autocolante. E o esforço dos autores é mínimo: uma folha de etiquetas autocolantes e um gerador de códigos qualquer chegam. A própria tecnologia é, nisto, tão neutra como o papel e a tinta de impressão — qualquer pessoa pode gerar, com qualquer ferramenta, um código para qualquer endereço.

As burlas conhecidas assemelham-se umas às outras. Em parquímetros e postos de carregamento elétrico, os códigos colados por cima levam a páginas de pagamento enganadoramente verdadeiras, que pedem dados do cartão de crédito. Em cartas falsificadas, alegadamente vindas de bancos, o código QR substitui a clássica ligação de phishing — o papel parece de confiança e contorna qualquer filtro de spam. Também estão documentadas multas de estacionamento forjadas, com o convite a pagar comodamente por código, tal como autocolantes em avisos de entrega de encomendas. O objetivo é sempre o mesmo: dados de pagamento ou dados de acesso, recolhidos num site imitado.

Por muito diferentes que sejam os cenários, a dramaturgia é parecida. Quase sempre a burla trabalha com pressão de tempo: a conta vai ser bloqueada, o carro vai ser rebocado, a coima vence-se, se não se agir dentro de minutos. A isso junta-se muitas vezes um caminho invulgar para um assunto banal — o banco que de repente convida, por carta, a ler um código; a entidade pública que trata pagamentos através de uma página desconhecida. Ambos são sinais clássicos de engenharia social e ambos funcionam independentemente da tecnologia: o código QR é apenas o suporte. Quem se habitua a abrandar precisamente quando sente pressão de tempo retira à burla a sua alavanca mais importante — nenhum fornecedor sério castiga um pagamento feito cinco minutos mais tarde pela via oficial.

A proteção mais importante está incorporada há muito, mas raramente é usada de forma consciente: a pré-visualização da ligação. Os telemóveis modernos mostram primeiro, depois da leitura, o endereço de destino, antes de abrirem uma página. Esse segundo é o decisivo. Vale a pena ler com atenção — e ler de trás para a frente: o que conta é o domínio propriamente dito, imediatamente antes da terminação, e não o início do endereço. «oseubanco.servico-pagamento.example» não pertence ao banco, mas a quem explora «servico-pagamento.example». Também as letras trocadas, os hífenes a mais e as terminações invulgares são sinais de aviso.

Duas subtilezas tornam esta leitura mais difícil do que parece. Primeiro, algumas aplicações de câmara encurtam os endereços longos na pré-visualização — visível fica então apenas o início de aspeto inofensivo, e não o domínio decisivo. Quem tiver dúvidas manda mostrar o endereço completo antes de o abrir. Segundo, existem domínios com carateres de outros alfabetos, parecidíssimos com as letras latinas; muitos navegadores apresentam esses endereços, por proteção, numa escrita técnica com o prefixo «xn--». Quem vê uma sequência dessas na pré-visualização, embora esteja à espera de uma marca conhecida, tem todos os motivos para desconfiar. Por fim, os serviços de encurtamento de ligações escondem por completo o destino verdadeiro — em tudo o que tenha que ver com dinheiro ou dados de acesso, escrever à mão o endereço conhecido é o caminho mais seguro.

O segundo olhar é para o próprio código. Está colado sobre o equipamento, em vez de estar impresso ou por baixo de uma película? Está torto, sobrepõe-se a outras inscrições, levanta-se de forma percetível da superfície? Uma etiqueta por cima do original é o padrão mais frequente do quishing no espaço público. Na dúvida vale: escolher a via oficial — a aplicação do operador, o número de apoio impresso ou o próprio terminal.

Terceiro: os processos sensíveis não têm lugar depois de uma leitura no espaço público. Quem, depois de ler um código, é convidado a introduzir dados de pagamento, palavras-passe ou um código de confirmação faz melhor em desistir e escrever ele próprio o endereço conhecido, ou em usar a aplicação oficial. Nas cartas com código QR ajuda um telefonema para o banco — pelo número que está no cartão bancário, não pelo que está na carta. As instituições sérias aceitam esse desvio sem queixas; quem insiste na pressa torna-se suspeito.

Um equívoco muito espalhado merece um aviso próprio: o símbolo do cadeado no navegador não é um selo de qualidade. Mostra apenas que a ligação está cifrada — não com quem se está a comunicar de forma cifrada. Hoje, as páginas de phishing usam quase sempre HTTPS. A pergunta nunca é, portanto, se uma página tem cadeado, mas a quem pertence o domínio.

Também faz diferença a ferramenta que se tem na mão. As aplicações de câmara dos telemóveis modernos mostram o endereço de destino e esperam por uma confirmação consciente — é exatamente essa pausa que constitui o mecanismo de proteção. As aplicações de leitura de terceiros, pelo contrário, abrem por vezes as ligações automaticamente, mostram publicidade ou exigem permissões que nada têm que ver com a leitura de códigos. Quem usa uma aplicação dessas faz bem em verificar se a abertura automática se pode desligar — ou prescinde dela por completo: para o dia a dia, a câmara pré-instalada chega perfeitamente. Onde ela falta, por exemplo em aparelhos mais antigos, uma aplicação de leitura com pré-visualização e permissões sóbrias é a escolha certa.

À verdade pertence, no entanto, também isto: nem todo o reencaminhamento é suspeito. Muitos códigos legítimos da publicidade e do comércio passam primeiro pelo domínio curto de um serviço de QR antes de chegarem ao destino — é assim que funcionam os códigos dinâmicos, cujo destino continua alterável depois e cujas leituras são contadas para a medição de alcance. Um passo intermédio por um endereço curto desconhecido não é, por isso, em si mesmo, prova de burla — tão pouco como a sua ausência é prova de segurança.

Como é que os fornecedores podem lidar com esta questão de transparência, mostra-o o serviço alemão de QR QR2GO (em inglês): coloca à escolha, para cada código, vários modos de reencaminhamento — um reencaminhamento visível, em que o passo intermédio se mantém reconhecível, uma variante encoberta com contagem e um modo direto sem desvio. Para as consumidoras e os consumidores, a lição continua ainda assim a ser a mesma: decisivo não é o caminho, mas o destino — que endereço está no fim no navegador e o que a página pede ali.

Impedir o abuso é coisa que um gerador não consegue — nenhum fornecedor controla onde é colado um código depois de gerado, e os burlões podem usar qualquer ferramenta. A proteção não está por isso na tecnologia, mas no hábito: ler o endereço de destino, verificar o contexto, desconfiar quando há dinheiro e palavras-passe pelo meio. É a mesma vigilância que há muito se instalou perante as ligações nos e-mails — só que, no código QR, ela só pode começar depois da leitura.

O tema tem uma faceta própria no dia a dia profissional. As autoridades de segurança e os defensores dos consumidores observam há algum tempo e-mails de phishing que, em vez de uma ligação, contêm um código QR — com um efeito secundário calculado: o código é lido do ecrã com o telemóvel pessoal e, com isso, o ataque abandona o computador seguro da empresa, com os seus filtros e programas de proteção. A janela de início de sessão que aparece depois no telemóvel é muitas vezes parecidíssima com o portal do empregador, até ao pormenor. A contra-regra é simples e pode ancorar-se na equipa: os dados de acesso profissionais nunca são introduzidos em páginas alcançadas através de um código lido — e as mensagens suspeitas devem ser comunicadas ao departamento de informática, não deitadas ao lixo.

Importante para o enquadramento: a leitura em si, por regra, ainda não causa dano nenhum. Perigoso torna-se apenas quando a página aberta convida a introduzir dados, oferece descarregamentos ou pressiona a instalar uma aplicação. Quem simplesmente fecha uma página suspeita e não introduziu nada, em geral não tem de recear mais nada — um olhar atento aos extratos de conta seguintes nunca faz mal, ainda assim.

Se algo aconteceu mesmo, conta a rapidez. Se foram introduzidos dados do cartão, este deve ser bloqueado de imediato — na Alemanha, de forma centralizada, através da linha de bloqueio de cartões 116 116, ou diretamente junto do banco. As palavras-passe afetadas devem ser alteradas logo, e também em todos os outros serviços em caso de reutilização. Uma queixa à polícia faz sentido mesmo com montantes pequenos, porque torna visíveis padrões de investigação; os centros de defesa do consumidor recolhem além disso as participações de phishing. Os movimentos da conta devem ser verificados com atenção nas semanas seguintes.

Também o outro lado pode fazer alguma coisa. As empresas que afixam códigos em público reforçam a confiança se imprimirem o endereço de destino em texto claro ao lado — quem quiser pode escrevê-lo à mão, e todos os outros podem pelo menos comparar a pré-visualização com ele. Uma imagem coerente, com cores e logótipo, também ajuda, mas não é prova, porque o desenho pode copiar-se. Mais eficaz é o controlo regular no local — um código tapado com autocolante nota-se na ronda semanal — e uma colocação que pelo menos dificulte a colagem por cima.

Para os operadores de máquinas e de postos de carregamento, isto pode condensar-se num procedimento fixo: manter uma lista de que código está em que local e para onde leva; instruir o pessoal de modo que um autocolante estranho salte à vista na recolha ou na manutenção; e criar uma via simples para as participações vindas dos clientes. Se for descoberta uma manipulação, vale: tapar ou retirar imediatamente o código falso, fotografar antes o estado em que estava, apresentar queixa — e assinalar bem visivelmente na máquina que os pagamentos só devem ser feitos pelas vias oficiais. Quem informar adicionalmente os clientes através dos seus próprios canais limita o dano e recupera confiança.

No fim, o quishing não é um perigo novo, mas um perigo antigo com roupagem nova: o phishing segue a atenção, e a atenção chegou ao código QR. A resposta mantém-se inalterada — um breve olhar verificador antes de os dados correrem. Quem ler o endereço de destino de um código lido com a mesma atenção com que lê o remetente de um e-mail suspeito tirou à burla a maior parte do seu susto.