Campanhas de QR phishing, também chamadas de quishing, usam códigos inseridos em e-mails, documentos ou mensagens para levar funcionários a páginas falsas de autenticação. O alvo mais exposto é a organização que confia apenas na filtragem do correio e não monitora o acesso posterior às contas. A prioridade defensiva é tratar todo QR recebido por mensagem como um link potencialmente hostil, bloquear páginas de login fora dos domínios autorizados e revogar sessões quando houver qualquer suspeita de captura de credenciais.
O que muda com o QR
O código não é uma tecnologia de segurança. Ele é apenas uma forma compacta de transportar uma URL, mas desloca parte da decisão para o telefone pessoal do usuário. Ferramentas de segurança que inspecionam o corpo do e-mail podem não enxergar o endereço que será aberto pela câmera. O funcionário também pode olhar para um documento impresso, um cartaz ou uma imagem e não perceber que o destino não pertence ao serviço que aparenta representar.
O problema não está limitado ao roubo de senha. A página falsa pode pedir um código de uso único, induzir o usuário a aprovar uma notificação ou tentar obter um artefato de sessão. Depois do primeiro acesso, o criminoso pode testar a conta em serviços de correio, armazenamento, colaboração e administração. A equipa precisa, portanto, investigar a identidade e a sessão, não apenas apagar a mensagem que carregava o código.
A orientação da CISA sobre engenharia social e phishing recomenda desconfiar de mensagens que criam urgência, solicitam dados ou direcionam o utilizador para ações inesperadas. Esse princípio continua válido quando o endereço é escondido por um QR. O gesto de apontar a câmera não torna o destino confiável.
Como a campanha funciona
O fluxo costuma começar com uma mensagem que imita uma rotina legítima: revisão de acesso, atualização de correio, confirmação de documento, aviso de entrega ou convite para uma reunião. O QR pode ser anexado como imagem, colocado dentro de um PDF ou apresentado como instrução para usar o telefone porque o acesso no computador estaria indisponível.
Ao abrir o destino, a vítima vê uma cópia visual do provedor de identidade. O domínio, porém, pode usar uma marca parecida, subdomínios enganosos ou redirecionamentos sucessivos. Em vez de confiar no logotipo, o usuário deve verificar o domínio completo e iniciar a autenticação pelo marcador salvo ou pelo portal corporativo conhecido. A explicação da Microsoft sobre phishing descreve a técnica como uma tentativa de enganar pessoas para que revelem informações ou executem ações que favorecem o atacante.
O QR também pode aparecer fora do correio eletrônico. Uma fotografia de um aviso colado em uma impressora, uma mensagem em um canal de colaboração ou um arquivo compartilhado pode alcançar utilizadores que já aprenderam a desconfiar de links azuis. Essa mudança de superfície exige que a política de segurança cubra mensagens móveis, documentos e conteúdo físico, sem presumir que a filtragem do correio encerra o risco.
Sinais para a investigação
O primeiro sinal é a combinação de um acesso legítimo aparente com propriedades anormais. Procure autenticações originadas de redes, países, dispositivos ou navegadores que não correspondem ao histórico do colaborador. Compare o horário do login com o horário em que a mensagem foi aberta e observe alterações de sessão, regras de encaminhamento, novos métodos de autenticação e consentimentos concedidos a aplicações.
Não descarte o evento porque o login usou uma senha correta ou porque o segundo fator foi aprovado. O dado relevante é o encadeamento completo: mensagem, resolução da URL, página visitada, tentativa de autenticação, criação ou utilização de sessão e ações realizadas depois. Registos do provedor de identidade, do correio, do proxy, do DNS e do endpoint devem ser correlacionados antes de concluir que se tratou de um falso alarme.
Também vale preservar a mensagem original e o documento que contém o código. Uma captura de tela não conserva todos os elementos necessários para análise. Guarde o arquivo, a URL extraída, os redirecionamentos observados, os horários em UTC e os identificadores de mensagem. Se o destino já estiver indisponível, os registros internos ainda podem revelar quais contas receberam a campanha.
Procedimento de contenção
| Prioridade | Ação | Objetivo |
|---|---|---|
| P1 | Revogar sessões e tokens da conta suspeita; redefinir credenciais por um canal confiável. | Interromper o uso de sessões já capturadas. |
| P1 | Bloquear os domínios, URLs e indicadores observados no DNS, proxy, navegador gerenciado e correio. | Reduzir novas visitas ao destino malicioso. |
| P1 | Verificar regras de encaminhamento, caixas delegadas, consentimentos e alterações no perfil. | Encontrar persistência e coleta de mensagens. |
| P2 | Procurar a mesma URL, remetente e assunto em todos os destinatários. | Medir o alcance da campanha. |
| P2 | Publicar um aviso curto com o procedimento de denúncia e o canal de confirmação. | Evitar que a correção dependa de julgamento individual. |
A redefinição da senha deve ocorrer depois da revogação das sessões, sempre que o provedor permitir essa ordem. Caso contrário, um atacante que já possua uma sessão válida pode continuar ativo mesmo sem conhecer a nova senha. A equipa também deve verificar métodos de recuperação, dispositivos registrados e aplicações autorizadas; remover apenas a mensagem deixa caminhos alternativos abertos.
Controles que reduzem exposição
O controle mais efetivo é reduzir a utilidade de uma página falsa. Prefira autenticação resistente a phishing, com credenciais vinculadas ao domínio e ao dispositivo, em vez de depender apenas de códigos digitados ou aprovações que o usuário pode aceitar sob pressão. O provedor de identidade deve aplicar políticas condicionais para exigir dispositivo gerenciado, localização coerente e reautenticação em ações de alto impacto.
No correio e na colaboração, permita que a equipa de segurança examine URLs dentro de anexos e documentos quando houver suporte para isso. O objetivo não é confiar no formato do conteúdo, mas extrair o endereço real antes da entrega ou no momento do clique. Em dispositivos móveis, use gerenciamento corporativo, navegadores protegidos e bloqueio de instalação ou abertura de aplicações fora da política.
A formação precisa abandonar o conselho genérico para “ter cuidado”. O exercício deve mostrar que um QR pode esconder o mesmo destino perigoso que um link, ensinar a confirmar o domínio por um caminho independente e explicar o que fazer depois de uma aprovação acidental. A rapidez da denúncia é mais útil do que uma promessa de que ninguém errará.
Decisão para a equipa
Se a organização não consegue extrair e bloquear URLs presentes em imagens ou PDFs, assuma que o filtro de correio não cobre QR phishing. A decisão imediata é deslocar a defesa para o provedor de identidade e para a telemetria de sessão: autenticação resistente a phishing, revogação rápida, alertas de regras de encaminhamento e correlação entre mensagem e login.
O indicador de maturidade não é quantos códigos foram bloqueados. É o tempo entre a primeira denúncia e a invalidação de todas as sessões afetadas, além da capacidade de localizar outros destinatários e provar que não houve persistência. Esse resultado transforma uma campanha de engenharia social em um incidente mensurável, com uma ação clara para o próximo ciclo: testar a deteção, verificar a revogação e corrigir o ponto que permitiu a confiança no destino.