Como verificar se um código QR é seguro antes de abrir o link

Confira o link antes de abri-lo

1. Leia o código sem abrir o resultado imediatamente. Use um app Câmera do Android ou leitor de QR que mostre uma prévia do link primeiro. Se o seu leitor abrir os links automaticamente, escolha um método que permita conferir o resultado antes de acessar o site. Se o código estiver em uma imagem salva no celular, consulte nosso guia para ler códigos QR de capturas de tela.
2. Leia o endereço completo do site. Confira o domínio verdadeiro, sua grafia e palavras ou terminações desconhecidas. Se a prévia cortar parte do endereço, use um leitor que permita examinar todo o texto decodificado sem abrir o link. Uma identificação impressa ao lado do código QR não comprova seu destino.
3. Considere a origem. Uma mensagem inesperada, encomenda misteriosa ou adesivo em um equipamento público exige atenção especial. Até mesmo uma placa com aparência oficial pode ter sido adulterada.
4. Verifique pedidos de pagamento ou login por outro meio. Abra o app oficial da empresa, digite um endereço que já conhece ou ligue para um número confiável em vez de seguir o link do código QR.

Na dúvida, não abra. Conferir a URL pode revelar sinais de alerta, mas até um endereço familiar não garante que o site seja legítimo.

Identifique o domínio verdadeiro da URL

Um nome de empresa conhecido dentro da URL não significa que a empresa seja dona do site. Compare https://accounts.example.com, que pertence a example.com, com https://accounts.example.com.verify-login.example, que pertence a verify-login.example.

Esses endereços .example são fictícios. Fique atento a pequenas alterações de grafia e links encurtados que escondem o destino. Se não puder verificar o link por outro caminho, não o use para login ou pagamento. Mesmo um endereço escrito corretamente não torna confiável uma solicitação inesperada.

Sinais de alerta ao redor do código

• Adesivo colocado sobre outro código QR: Confira parquímetros, placas e instruções de pagamento impressas em busca de adulterações. Em caso de dúvida, use o app ou site de pagamento oficial do fornecedor.
• Pressão para agir imediatamente: Mensagens sobre entregas perdidas, multas, atividade suspeita na conta ou prêmios que vão expirar podem tentar apressar você.
• Encomenda ou presente inesperado: Um código QR misterioso que pede para identificar o remetente, confirmar um pedido ou resgatar um prêmio pode levar a uma página de phishing.
• Login, formulário de cartão ou download inesperado: Não digite senhas, dados financeiros ou informações pessoais apenas porque o código levou a uma página convincente.

A Comissão Federal de Comércio dos EUA (FTC) documentou golpes com adesivos de QR em parquímetros e links fraudulentos em mensagens com códigos QR. A alternativa mais segura para um código duvidoso é entrar em contato com a organização por um canal independente e conhecido.

Por que ler um QR não garante que o link seja seguro

Não. O HTTPS protege a conexão com o site; não comprova que ele pertença à marca mostrada na página. Um site de phishing também pode usar o cadeado e HTTPS.

Ler um código apenas revela os dados codificados nele. O QR Code Scanner da ThinApps lê códigos pela câmera ou por uma imagem selecionada e mostra o valor exato da leitura para você conferir. Ele nunca abre links automaticamente: é necessário tocar expressamente em Open, que só fica habilitado para endereços que passam por verificações locais básicas do formato da URL. Essas verificações não detectam phishing, não avaliam a reputação dos sites e não garantem que um destino seja confiável.

Usuários Android que abrem links no Chrome podem manter o Navegação segura do Google ativado para receber alertas sobre sites identificados como perigosos. A ausência de um alerta não comprova que toda página seja confiável.

Se você já abriu um link suspeito

• Viu apenas a prévia do código QR: Feche-a sem abrir o endereço. Decodificar uma URL não é o mesmo que enviar sua senha ou seus dados de pagamento ao site.
• Abriu a página, mas não digitou nada: Feche-a, recuse downloads ou permissões inesperadas e mantenha o Android e o navegador atualizados. Apenas abrir uma página geralmente é menos arriscado do que enviar dados, mas o risco não é zero.
• Digitou uma senha: Abra o serviço verdadeiro pelo app oficial ou por um endereço conhecido e altere a senha. Troque senhas reutilizadas em outros lugares e ative a autenticação multifator.
• Informou dados do cartão ou fez um pagamento: Entre em contato com o banco ou o provedor de pagamento por um canal oficial e verifique se há transações não autorizadas.
• Instalou um app desconhecido: Remova-o se possível, confira as permissões concedidas e execute o Google Play Protect. Procure ajuda adicional de segurança do dispositivo se o comportamento suspeito continuar.

Nos Estados Unidos, é possível denunciar golpes à FTC; em outros países, procure o órgão local de defesa do consumidor ou combate a crimes cibernéticos.