Como se proteger do quishing: impeça o phishing por código QR antes que comece

Uma leitura rápida. Um pequeno quadrado num folheto. Uma nota urgente a dizer "toque aqui" num talão de estacionamento. É exatamente com essa confiança de uma fração de segundo que os atacantes contam. Quishing - phishing através de códigos QR - parece inofensivo, mas pode levar um dispositivo através de redirecionamentos ocultos, fazer os utilizadores aterrarem em páginas de login falsas convincentes ou entregar silenciosamente tokens de rastreio que vazam dados.

Este artigo explica por que os códigos QR criam um ponto cego, por que "verifique o URL" muitas vezes falha e passos práticos para reduzir o risco. A secção final explica como o Clean Links revela o verdadeiro destino e remove o rastreio antes de uma página ser aberta.

Porque é que os Códigos QR Criam um Ponto Cego

Os códigos QR removem a digitação e o contexto ao mesmo tempo.

• Quando um código é lido, o telemóvel descodifica os dados e mostra um URL ou uma ação. Esse primeiro URL pode ser um ponto de viragem - um link curto, um redirecionador ou uma página alojada na nuvem que reencaminha imediatamente para um destino diferente.
• Os atacantes usam encurtadores e redirecionamentos de várias etapas para ocultar o alvo final. O que parece seguro à primeira vista pode tornar-se uma página para roubo de credenciais após um ou mais redirecionamentos.
• Os códigos QR podem ser colocados em qualquer lugar: cartazes, menus, correspondência, autocolantes colocados sobre códigos legítimos. Essa colocação física torna-os persuasivos e fáceis de usar para fins maliciosos.

Porque é que "Verificar o URL" Muitas Vezes Falha

Dizer a alguém para "apenas verificar o URL" assume algumas coisas que não são verdadeiras na prática:

1. O URL descodificado pode ser ele próprio um redirecionador, pelo que verificá-lo mostra apenas o primeiro passo.
2. Muitos leitores - incluindo as aplicações de câmara padrão - exibem o link descodificado, mas não seguem toda a cadeia de redirecionamentos nem revelam o destino final até que se toque no ecrã.
3. Mesmo que o domínio final pareça legítimo, podem estar anexados parâmetros de rastreio e tokens de afiliados. Esses parâmetros podem permitir a criação de perfis ou ser usados como parte de esquemas de fraude, tornando mais difícil ver para onde uma leitura realmente leva.

Em resumo: um URL visível é útil, mas não é toda a história.

O vídeo acima demonstra a diferença crucial: a aplicação Câmara da Apple mostra apenas o domínio inicial, enquanto o Clean Links segue todos os redirecionamentos para revelar o verdadeiro destino final antes de tocar.

Passos Práticos Para Reduzir o Risco

• Trate os códigos QR não solicitados como links desconhecidos. Se algo chegar por correio, num autocolante ou num local onde não era esperado, evite fazer a leitura.
• Se uma empresa fornecer um código QR (menu, bilhete, pagamento), verifique o código com os funcionários ou use a aplicação ou o site oficial da empresa.
• Evite introduzir credenciais num site acedido a partir de um código QR. Para serviços importantes, digite manualmente o endereço oficial conhecido ou use um favorito de confiança.
• Prefira leitores que pré-visualizam o destino final e mostram a cadeia de redirecionamentos em vez de apenas o primeiro link descodificado.

Como o Clean Links Ajuda

O Clean Links foi concebido para desmascarar códigos QR e links curtos. Segue toda a cadeia de redirecionamentos e exibe o verdadeiro URL final antes de a página abrir. Enquanto a câmara do iPhone mostra o link descodificado, o Clean Links revela os redirecionamentos e remove os parâmetros de rastreio para que a página de destino e o link que abre correspondam às expectativas. Todo o processamento é executado localmente no dispositivo, sem qualquer registo externo.

O Clean Links pode ser descarregado gratuitamente na App Store.

Lista Rápida Para se Proteger

• Faça uma pausa antes de tocar. Inspecione a pré-visualização do leitor e o domínio final.
• Em caso de dúvida, não introduza palavras-passe ou detalhes de pagamento.
• Se um link solicitar um pagamento urgente ou credenciais, verifique o pedido fora do link.
• Torne um leitor mais seguro o padrão se ler códigos QR regularmente em locais públicos.

O quishing tem sucesso porque explora comportamentos de rotina. Uma pequena dose de cautela, combinada com as ferramentas certas, quebra a cadeia de ataque. Para qualquer pessoa que leia códigos QR, mesmo que ocasionalmente, usar um leitor que pré-visualiza e limpa os links remove grande parte do risco.