Código QR malicioso: a digitalização que abre a carteira

O mundo moderno parece, por vezes, um quebra-cabeça de pequenos quadrados pretos e brancos. Eles estão em toda parte: em cardápios de restaurantes, em postes de iluminação na rua, em pacotes recebidos pelo correio e até em lápides em cemitérios. O QR Code (Código de Resposta Rápida), inventado originalmente para a indústria automobilística japonesa, ganhou um renascimento meteórico durante a pandemia de coronavírus. Ele se tornou a ponte central entre o mundo físico e o espaço digital. Mas, dentro desta conveniência, dentro do "clique" rápido e da digitalização instintiva, esconde-se uma das ameaças mais sofisticadas e em evolução no mundo da fraude digital: o "Quishing" (Phishing de QR Code).

Nos capítulos anteriores, tratamos de mensagens de texto e e-mails fraudulentos. Lá, a armadilha geralmente é visível a olho nu para quem sabe o que procurar – um endereço de remetente estranho ou uma linguagem truncada. No caso do QR Code, o problema é que o olho humano não é capaz de ler o código. Para nós, é apenas um padrão gráfico aleatório. Depositamos total confiança no nosso telefone celular para decifrar o destino para nós e, muitas vezes, esse destino pode ser o prelúdio para uma perda financeira.

O cenário a seguir é um exemplo didático baseado em padrões comuns de fraude. Os personagens e eventos destinam-se apenas à ilustração.

Ronen, um engenheiro de software, é considerado por sua família como um especialista na área tecnológica. É ele quem configura os roteadores, instala o antivírus para seus pais e avisa a todos para não clicarem em links suspeitos via SMS. Mas, um dia, à tarde, até mesmo as muralhas de defesa de Ronen foram colocadas à prova.

Ele estava com pressa para uma reunião importante em uma área movimentada. Após uma busca exaustiva, finalmente encontrou uma vaga de estacionamento disponível. No parquímetro, havia um adesivo grande com o símbolo de um órgão municipal e uma marca que parecia oficial. "Estacionou? Digitalize e pague com um clique – sem necessidade de aplicativo", dizia o texto ao lado de um código QR proeminente.

"Excelente", pensou Ronen, "isso me economiza tempo". Ele pegou o celular, digitalizou o código e, em segundos, um site que parecia ser um portal de pagamentos oficial foi aberto no navegador. As cores estavam corretas e o logotipo estava no lugar certo. Foi solicitado que ele inserisse o número do veículo e o tempo desejado. Ele inseriu os dados do cartão de crédito, clicou em "confirmar pagamento" e recebeu uma mensagem na tela: "Pagamento realizado com sucesso. Tenha um bom estacionamento".

Ronen seguiu para sua reunião com a cabeça tranquila. Ele não sabia que, nesse cenário, os dados de seu cartão de crédito foram transferidos para um servidor externo. Ele também não sabia que o adesivo que digitalizou havia sido colado no parquímetro por uma entidade mal-intencionada que cobriu o código original.

O despertar ocorreu à noite. Ronen notou alertas da emissora do cartão de crédito sobre transações em valores significativos realizadas em sites estrangeiros sobre os quais nunca tinha ouvido falar. Ele acessou o aplicativo do banco e viu uma lista de débitos pendentes. Ele se lembrou do parquímetro e daquela digitalização, que parecia tão inocente e conveniente.

Quando entrou em contato com a central de atendimento ao cliente da administradora do cartão, a atendente perguntou: "O senhor forneceu os dados do cartão em algum site recentemente?". "Apenas no estacionamento", respondeu Ronen. "Conhecemos muitos casos assim ultimamente", respondeu a atendente. "É possível que você tenha digitalizado um código falso".

A anatomia da fraude de QR Code: por que funciona?

Para entender por que o QR Code se tornou uma ferramenta eficaz nas mãos de golpistas, precisamos entender a psicologia por trás da digitalização. Ao contrário de um link textual (URL), onde podemos examinar as letras, um código QR é uma "caixa preta". O usuário médio não sabe para onde está sendo levado até que a ação já tenha sido realizada.

Essas fraudes exploram, na maioria das vezes, vários fatores principais:

1. Confiança no local físico

Existe uma tendência de confiar em objetos físicos. Se uma pessoa vê um código QR impresso em uma placa dentro de um estabelecimento conhecido, em uma mesa de restaurante ou em uma máquina de pagamento oficial, ela assume que o código pertence ao proprietário do local. O pensamento é: "se o adesivo está aqui, é seguro". Agentes mal-intencionados podem chegar a locais públicos e colar um código malicioso sobre o código legítimo.

2. Contorno de mecanismos de defesa digitais

Sistemas de segurança de caixas de e-mail sabem como verificar links e identificar sites de phishing conhecidos. No entanto, um código QR é uma imagem. Certos softwares de segurança podem ter dificuldade em "ler" a imagem e analisar o link escondido nela com a mesma eficiência com que verificam textos, o que permite que a mensagem contorne filtros de segurança.

3. Senso de urgência e conveniência

Códigos QR são frequentemente colocados em locais onde as pessoas estão com pressa: pagamento de estacionamento, digitalização de cardápio ou inscrição rápida. Em um estado de pressa, o senso crítico pode diminuir, e o usuário pode digitalizar sem examinar profundamente a página de destino que foi aberta.

Tipos comuns de fraude de QR Code: guia para identificar minas terrestres

As fraudes de QR não se limitam apenas a adesivos na rua. Ao longo dos anos, durante o trabalho profissional, foram observados métodos variados:

O golpe da "encomenda pendente" na versão QR

Nesse cenário, uma pessoa recebe uma carta física na caixa de correio que parece ter sido enviada por uma empresa de entregas conhecida. A carta afirma que tentaram entregar um pacote e que, para agendar uma nova data ou pagar taxas de manuseio simbólicas, o código deve ser digitalizado. A carta física transmite uma sensação de confiabilidade, e a digitalização pode levar a uma página de pagamento falsa.

Fraudes em estações de carregamento de veículos elétricos

Muitas estações de carregamento são operadas através da digitalização de um código QR. Agentes mal-intencionados podem colar códigos falsos nas estações, levando a um site onde o motorista é solicitado a inserir dados do cartão de crédito. Nesse caso, o motorista pode perder seus dados de crédito sem que a estação seja realmente ativada.

"Desconto especial" em restaurantes e cafeterias

Nas mesas de restaurantes pode aparecer um código prometendo um desconto significativo em troca da inscrição em um clube de fidelidade. A digitalização pode levar a uma página que solicita dados pessoais ou o download de um aplicativo que pode conter componentes maliciosos que extraem informações do dispositivo móvel.

Aspectos jurídicos: análise de responsabilidade em caso de fraude

Quando uma pessoa descobre que sua conta foi debitada após a digitalização de um código QR malicioso, surge a questão jurídica sobre as possibilidades de reembolso. Em Israel, o assunto é regulado pela Lei de Serviços de Pagamento, de 2019.

A lei confere proteção ao consumidor em caso de "uso indevido" de um meio de pagamento. Via de regra, se transações foram realizadas sem autorização, a responsabilidade do cliente é limitada aos valores estabelecidos por lei, e é possível examinar a demanda de ressarcimento do restante do dano junto à entidade de pagamento. A discussão jurídica concentra-se frequentemente na questão de saber se o cliente agiu com intenção fraudulenta ou negligência grave.

A questão da "negligência grave" na digitalização de QR

Pode surgir o argumento de que a digitalização de um código colado na rua e a inserção de dados constituem negligência grave. Por outro lado, na análise jurídica desses casos, pode-se argumentar que, quando a personificação é sofisticada e o código é colocado em um local público que lhe confere uma presunção de integridade, não se deve considerar isso como uma negligência grave que anule a proteção da lei.

Em muitos casos, a abordagem jurídica tende a proteger o consumidor, uma vez que "negligência grave" é um patamar elevado que a entidade de pagamento deve provar. Em circunstâncias em que uma pessoa foi vítima de um ato de fraude sofisticado, pode-se avaliar as chances de recuperação dos valores de acordo com as circunstâncias do caso.

Responsabilidade do proprietário do imóvel ou autoridade local

Outra questão jurídica é a responsabilidade do órgão em cujo território ou instalações o código foi colado. Pode-se avaliar se um órgão que opera instalações no espaço público e não age para remover adesivos maliciosos ao longo do tempo violou seu dever de cuidado. Tratam-se de questões jurídicas que podem ser analisadas de acordo com o direito civil geral.

Táticas de defesa: higiene de digitalização

É possível continuar usando códigos QR adotando medidas de precaução:

1. Verificação física

Antes de digitalizar um código em um local público, recomenda-se verificar se não se trata de um adesivo colado sobre outro código. Se parecer que o código não é parte integrante da placa ou do dispositivo, deve-se evitar sua digitalização.

2. Exame do endereço do site (URL)

A maioria dos dispositivos exibe uma prévia do endereço do site antes de abri-lo. Deve-se examinar o endereço e garantir que ele corresponda ao órgão oficial esperado e que não se trate de um endereço encurtado ou suspeito.

3. Download de aplicativos apenas de fontes oficiais

Recomenda-se evitar o download de aplicativos diretamente via código QR. É melhor procurar o aplicativo manualmente nas lojas oficiais, que realizam verificações de segurança no conteúdo enviado para elas.

4. Uso de autenticação de dois fatores (2FA)

A ativação da autenticação de dois fatores constitui uma camada adicional de defesa. O código de autenticação enviado ao celular é a última barreira e não deve ser inserido em um site aberto via QR, a menos que o usuário tenha iniciado a operação em um site conhecido e seguro.

Aspecto jurídico: resumo do procedimento com órgãos de pagamento

Ao longo dos anos de trabalho profissional, surgem muitos casos de vítimas que sentem desconforto. É importante entender que se trata de uma atividade de agentes criminosos sofisticados.

Do ponto de vista jurídico, deve-se atentar para os seguintes pontos:

• Dever de notificar: ao descobrir a fraude, deve-se notificar sem demora a administradora do cartão de crédito ou o banco. A notificação antecipada pode reduzir a responsabilidade do cliente.
• Exame do direito ao reembolso: de acordo com a lei, em casos de uso indevido, existe um arcabouço que permite exigir o reembolso dos valores das transações, sujeito à análise das circunstâncias do evento pela entidade pagadora.
• Ônus da prova: o ônus de provar a "negligência grave" recai na maioria das vezes sobre a entidade de pagamento. A mera realização da digitalização não é suficiente para fundamentar este argumento.

Sinais de alerta (Red Flags)

• O código parece um adesivo colado sobre uma placa existente, instalação de estacionamento ou cardápio.
• A digitalização leva a uma página que solicita a inserção urgente de dados de cartão de crédito ou informações pessoais sensíveis.
• O endereço do site não corresponde ao site oficial do órgão relevante.
• O código chegou como parte de uma abordagem física inesperada na caixa de correio.
• A digitalização faz com que o dispositivo solicite permissões de acesso não habituais a contatos ou mensagens.

O que fazer imediatamente (medidas de emergência)

1. Bloqueio de meios de pagamento: contato imediato com a administradora do cartão de crédito ou banco para cancelar ou congelar o cartão cujos dados foram expostos.
2. Documentação: fotografia do código físico e sua localização, bem como captura de tela do endereço do site que foi aberto.
3. Alteração de senhas: se dados de identificação foram inseridos, as senhas nas contas relevantes devem ser alteradas imediatamente.
4. Relatório às autoridades: apresentação de queixa na polícia. Esta ação é essencial para garantir direitos junto às entidades de pagamento.
5. Verificação de segurança do dispositivo: se um arquivo foi baixado, recomenda-se realizar uma verificação profissional de malwares no dispositivo móvel.

Aspecto jurídico – síntese

A Lei de Serviços de Pagamento, de 2019, constitui a base para a proteção do consumidor nestes casos. Em situações de fraude de QR, pode-se avaliar a limitação da responsabilidade do cliente. Como as entidades de pagamento podem, às vezes, avaliar a responsabilidade de forma restrita, recomenda-se, em casos de dano significativo, avaliar as opções jurídicas à disposição do consumidor. A tecnologia certamente muda, mas os princípios de proteção ao consumidor destinam-se a fornecer respostas em situações em que uma pessoa é prejudicada por ações de fraude sofisticadas.