Burlas com Códigos QR: da Chamada Falsa ao Pagamento Fraudulento

Os códigos QR tornaram-se parte do dia a dia: pagamos estacionamentos, consultamos ementas de restaurantes e confirmamos entregas apenas apontando a câmara do telemóvel. Essa comodidade também atraiu burlões, que colam códigos falsos sobre os originais ou os distribuem por email, SMS e redes sociais. O resultado pode ser uma chamada para um número que cobra tarifas elevadas, uma ligação para um suposto ‘apoio ao cliente’ que tenta obter dados pessoais, ou uma página de pagamento clonada que rouba o número do cartão. Nada disto exige conhecimentos técnicos da vítima — basta um momento de confiança ao apontar a câmara.

Como funciona esta burla

Um código QR não é mais do que uma forma de codificar um endereço web, um número de telefone ou um texto. O problema é que, ao contrário de um link escrito, não conseguimos ler o destino a olho nu antes de o abrir. Os burlões exploram exatamente essa opacidade. Colam autocolantes com QR falsos por cima dos códigos legítimos em parquímetros, portagens, montras de lojas ou mesas de café. Outros enviam o código por email ou mensagem, disfarçado de fatura, encomenda por levantar ou convite para um evento.

Ao digitalizar, podem acontecer três coisas: o telemóvel abre automaticamente uma chamada para um número de tarifa majorada; abre uma página que imita o site de um banco, de uma operadora de estacionamento ou de uma transportadora, pedindo dados de cartão; ou instala uma ligação que redireciona para um número onde alguém, fazendo-se passar por apoio técnico ou funcionário público, tenta convencer a vítima a partilhar códigos de acesso ou a fazer uma transferência.

Sinais de alerta num código QR físico

• O autocolante parece colado por cima de outro, com bordas levantadas, cor ligeiramente diferente ou desalinhado em relação ao suporte.
• O código está num local onde normalmente não haveria QR (por exemplo, sobre o número de contribuinte de uma fatura em papel, ou num poste na rua sem qualquer identificação da entidade responsável).
• Existe urgência associada: “pague já para evitar multa”, “confirme em 10 minutos” ou “oferta válida apenas hoje”.
• Não há forma alternativa de pagamento ou contacto indicada além do próprio QR.

Sinais de alerta num QR digital (email, SMS, redes sociais)

• Mensagem inesperada sobre uma encomenda, multa, reembolso ou fatura que não reconhece.
• Pedido para digitalizar o código em vez de simplesmente clicar num link — muitas vezes usado para contornar filtros de segurança do email ou do telemóvel.
• Remetente desconhecido, endereço de email estranho ou número de telefone que não corresponde à entidade mencionada.
• Pressão emocional: ameaça de corte de serviço, dívida em atraso ou prémio a expirar.

Como verificar um QR antes de digitalizar

A maioria dos telemóveis atuais mostra uma pré-visualização do endereço ou número antes de abrir qualquer coisa — aproveite sempre esse passo e nunca toque diretamente em “abrir” sem ler.

• Confirme se o domínio mostrado corresponde exatamente ao site oficial da entidade (atenção a letras trocadas, hífens extra ou terminações estranhas).
• Se aparecer um número de telefone em vez de um endereço web, desconfie: entidades legítimas raramente pedem para ligar através de um QR.
• Em parquímetros ou portagens, prefira usar a aplicação oficial da operadora, já instalada e verificada, em vez de digitalizar um código colado no equipamento.
• Se tiver dúvidas sobre a autenticidade de um QR físico, procure descolá-lo com cuidado ou compare com outro equipamento igual nas proximidades.
• Nunca introduza dados de cartão ou credenciais bancárias numa página aberta a partir de um QR sem confirmar antes o endereço na barra do navegador.

Se já digitalizou e algo correu mal

Se a página pedia dados de pagamento e os introduziu, contacte imediatamente o seu banco através do número que consta no cartão ou no site oficial, para bloquear o cartão ou reverter a transação. Se o QR abriu uma chamada e alguém do outro lado pediu códigos recebidos por SMS, dados de acesso ao homebanking ou para instalar uma aplicação de acesso remoto, desligue e não forneça nada — nenhuma entidade legítima pede isso por telefone. Verifique também a fatura da operadora móvel nos dias seguintes, caso a chamada tenha sido feita para um número de tarifa majorada.

Boas práticas para o dia a dia

• Trate um QR como trataria um link desconhecido: verifique antes de confiar.
• Prefira sempre aceder diretamente ao site ou aplicação oficial em vez de seguir um código recebido de fonte incerta.
• Desconfie de qualquer QR associado a urgência, multas ou pagamentos fora do contexto habitual.
• Se recebeu uma chamada suspeita depois de digitalizar um código, pode consultar o número neste serviço para ver se outros utilizadores já o reportaram como fraudulento.

Os códigos QR não são, por si só, perigosos — o risco está em quem os coloca e no hábito de confiar sem verificar. Um segundo a mais para ler o endereço antes de tocar em “continuar” é, muitas vezes, tudo o que separa uma transação normal de uma burla.