O quishing, a burla do QR code explicada
Um cliente lê o quadrado colado na sua esplanada. Em vez do menu, aparece uma página a pedir o número do cartão. Aquele código não é o seu: é quishing. A palavra junta QR code e phishing.
O tema anda nas notícias, por isso os seus clientes já ouviram falar disto. É mais uma razão para dominar aquilo que cola nas mesas, não para deixar de o fazer.
O que é um QR code?
Um QR code é uma imagem que contém texto, quase sempre um endereço de internet. A câmara lê o código e propõe abrir a página. É um atalho, nada mais: não instala nada nem executa qualquer programa. Se quiser perceber o funcionamento técnico, explicámo-lo em detalhe no artigo sobre como funciona um QR code.
O que é o quishing?
O quishing é phishing clássico, com um código no lugar do link. Os cibercriminosos criam um código falso que encaminha o utilizador para um site que imita uma marca conhecida. A página pede depois dados pessoais, credenciais, palavras-passe ou dados bancários.
A diferença face ao phishing por e-mail é simples: ninguém consegue ler um quadrado de píxeis a olho nu. O reflexo habitual, passar o rato sobre o link antes de clicar, deixa de existir. É esse ponto cego que a fraude aproveita.
Onde aparecem estes QR codes fraudulentos?
Quase sempre em locais públicos, num suporte que ninguém vigia de forma permanente. O método é sempre o mesmo: um autocolante malicioso tapa um código legítimo, ou chega uma carta falsa à caixa do correio.
Estacionamento, parquímetros e postos de carregamento
É o caso mais frequente. Cola-se um autocolante no parquímetro ou no posto de carregamento e a página de pagamento copia o site da câmara municipal. As vítimas pagam um estacionamento que não existe e deixam ali os dados bancários. Vários municípios já alertaram publicamente para estas burlas.
Segurança Social, SNS e Finanças
A burla com QR code em nome de organismos públicos circula por carta ou por SMS. A mensagem anuncia um reembolso pendente ou um cartão de utente a renovar. O código leva a uma página falsa da Segurança Social Direta, do SNS 24 ou do Portal das Finanças, que pede o número de identificação e o IBAN. Nenhum organismo público pede dados bancários desta forma.
OLX, correio e entregas
Nos anúncios de classificados, um falso comprador envia um código de pagamento supostamente seguro. A vítima lê o código e valida, na prática, uma transferência a favor de quem o enviou. A lógica é a mesma nos avisos de entrega dos CTT ou de transportadoras deixados na caixa do correio.
O QR code do seu menu não é a mesma coisa
Um código de menu aponta para a sua própria página, alojada no seu fornecedor, sem formulários nem pagamentos. Não pede identidade, nem cartão, nem palavra-passe. O único risco real é alguém colar um autocolante por cima do seu, e isso resolve-se com material, não com tecnologia.
| Critério | QR code fraudulento | QR code de menu controlado |
|---|---|---|
| Origem do código | Autocolante acrescentado, carta desconhecida | Impresso ou gravado por si |
| Endereço aberto | URL encurtado ou domínio imitado | O seu domínio, sempre o mesmo |
| Dados pedidos | Cartão bancário, palavras-passe, identidade | Nenhum |
| Consequência da leitura | Fraude, débitos, usurpação de identidade | O menu abre no ecrã |
No terreno, os incidentes em sala nunca vêm do QR code em si: vêm de um suporte frágil, colado à pressa, que qualquer pessoa tapa em dez segundos.
Como identificar um QR code falso
Ensine estes sinais à sua equipa. Chegam na quase totalidade dos casos e servem também para os seus clientes.
- Um autocolante colocado por cima de outro suporte: descole um canto e veja o que está por baixo.
- Um endereço encurtado ou um nome de domínio estranho: na dúvida, é melhor não ler o código.
- Uma página que pede dados bancários quando só quer consultar um menu ou um horário.
- Um sentido de urgência: multa a pagar, encomenda retida, conta suspensa.
Na maioria dos telemóveis, o endereço aparece antes de a página abrir. Confirme a primeira parte do domínio, a que vem antes da primeira barra. É ela que diz para onde vai realmente, como explicamos no nosso guia para ler um QR code em segurança.
Cinco gestos para proteger os clientes em sala
A segurança de um QR code num restaurante é uma questão de suporte físico e de rotina, não de informática.
- Prefira o cavalete gravado, o autocolante com verniz de proteção ou o código impresso na própria carta a um autocolante simples.
- Dê uma volta pela sala todas as semanas: um código tapado nota-se em trinta segundos.
- Coloque o seu logótipo e o nome do estabelecimento à volta do código, para evitar confusões.
- Leia você mesmo o código de duas mesas ao acaso todas as manhãs, à abertura.
- Nunca peça dados pessoais nem pagamentos através desse código: os seus clientes vão perceber que, na sua casa, uma leitura abre apenas um menu.
O mesmo princípio vale para os restantes códigos do estabelecimento, incluindo o do seu acesso wi-fi para clientes.
O que fazer se você ou um cliente forem vítimas
Aja depressa: a maioria dos débitos fraudulentos ainda pode ser bloqueada nas horas seguintes. Cancele o cartão junto do banco, mude as palavras-passe reutilizadas noutros sítios e denuncie a burla nas plataformas oficiais.
Em sala, se encontrar um código falso, retire o suporte, fotografe-o e avise os clientes presentes. Apresentar queixa continua a ser útil, mesmo sem prejuízo financeiro: são estas denúncias que permitem detetar séries de autocolantes maliciosos num mesmo bairro.
O QR code continua a ser uma ferramenta neutra. Bem colocado e bem vigiado, não apresenta nenhum dos riscos de que falam estes casos de fraude.