A técnica do autocolante
O método é de uma simplicidade desconcertante. Um criminoso entra num restaurante, deteta os suportes de QR code sobre as mesas ou à entrada e cola por cima um autocolante acabado de imprimir: com o seu próprio QR code. Toda a operação leva menos de trinta segundos por mesa.
A página falsa que se abre é uma réplica quase perfeita de uma página de encomenda ou de pagamento: os logótipos certos, as cores da marca certas, por vezes até o nome do restaurante. O cliente, convencido de que está a consultar a ementa do dia, introduz os dados do cartão bancário num site fraudulento.
Em 2025 e no início de 2026, foram observados casos documentados em Lyon (Presqu'île, Confluence), Paris (11.º e 18.º arrondissements) e Bordéus (bairro de Saint-Pierre). A técnica cresce a um ritmo acelerado: segundo a plataforma francesa de cibercrime Pharos, as denúncias de phishing por QR code aumentaram 340% entre 2024 e 2026.
Os restaurantes que passam a ementas digitais sem proteção física (QR codes gravados, suportes com fecho) são alvos privilegiados. Os pequenos estabelecimentos que imprimem os próprios suportes em papel comum são os mais vulneráveis.
Como detetar a fraude
Antes de digitalizar, inspecione fisicamente o QR code. Os autocolantes falsos estão muitas vezes ligeiramente desalinhados, com margens que se sobrepõem ou uma qualidade de impressão diferente do restante material do restaurante.
Utilize um leitor de QR que mostre o URL completo antes de abrir a ligação. A aplicação Câmara nativa do iOS e os leitores integrados do Android mostram geralmente o URL, reserve um instante para o ler. Os atacantes recorrem ao typosquatting: «carte-restaurant-lyon.com» em vez do site oficial do estabelecimento.
Desconfie sobretudo se a página que se abre pedir os dados do cartão bancário apenas para consultar uma ementa. Nenhum restaurante legítimo condiciona o acesso à ementa a um pagamento.
Em caso de dúvida, peça diretamente a um funcionário que lhe mostre a ementa ou o QR code apresentado na interface de administração: e não o que está no suporte da mesa.
O que a Trasimène faz
A Trasimène inclui proteção de QR codes em tempo real. Cada URL extraído de um QR code é verificado em várias bases de dados de phishing (Google Safe Browsing, feeds proprietários da Trasimène) antes de a página carregar.
Se o URL for reconhecido como suspeito ou pertencer a um domínio registado recentemente com características típicas de phishing, a página é bloqueada e surge um alerta: com a possibilidade de denunciar o QR code diretamente a partir da aplicação.
Esta proteção funciona inteiramente em segundo plano, sem qualquer ação manual. Digitalize normalmente; a Trasimène verifica em silêncio.
A vigilância continua a ser a primeira linha de defesa. Um olhar rápido antes de digitalizar, ler o URL antes de escrever, fazer uma pergunta em caso de dúvida: estes hábitos simples bastam para travar a esmagadora maioria dos ataques por QR code. E, com a aplicação de segurança certa, não há razão para não os automatizar.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- National Cyber Security Centre (Switzerland / NCSC-CH), "Be careful when scanning: the hidden dangers of tampered QR codes" (2025)
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Proteja-se contra o phishing por QR code