O QR code do restaurante nem sempre é o que parece.

A técnica do autocolante

O método é de uma simplicidade desconcertante. Um criminoso entra num restaurante, deteta os suportes de QR code sobre as mesas ou à entrada e cola por cima um autocolante acabado de imprimir: com o seu próprio QR code. Toda a operação leva menos de trinta segundos por mesa.

A página falsa que se abre é uma réplica quase perfeita de uma página de encomenda ou de pagamento: os logótipos certos, as cores da marca certas, por vezes até o nome do restaurante. O cliente, convencido de que está a consultar a ementa do dia, introduz os dados do cartão bancário num site fraudulento.

A técnica não se limita aos restaurantes: a Cybermalveillance.gouv.fr, a plataforma pública francesa de apoio às vítimas de cibercrime, também alerta para QR codes falsos colados em parquímetros e postos de carregamento de veículos elétricos.

Os restaurantes que passam a ementas digitais sem proteção física (QR codes gravados, suportes com fecho) são alvos privilegiados. Os pequenos estabelecimentos que imprimem os próprios suportes em papel comum são os mais vulneráveis.

Como detetar a fraude

Antes de digitalizar, inspecione fisicamente o QR code. Os autocolantes falsos estão muitas vezes ligeiramente desalinhados, com margens que se sobrepõem ou uma qualidade de impressão diferente do restante material do restaurante.

Utilize um leitor de QR que mostre o URL completo antes de abrir a ligação. A aplicação Câmara nativa do iOS e os leitores integrados do Android mostram geralmente o URL, reserve um instante para o ler. Os atacantes recorrem ao typosquatting: «carte-restaurant-lyon.com» em vez do site oficial do estabelecimento.

Desconfie sobretudo se a página que se abre pedir os dados do cartão bancário apenas para consultar uma ementa. Nenhum restaurante legítimo condiciona o acesso à ementa a um pagamento.

Em caso de dúvida, peça diretamente a um funcionário que lhe mostre a ementa ou o QR code apresentado na interface de administração: e não o que está no suporte da mesa.

O que a Trasimène faz

A Trasimène inclui um leitor de QR codes. Cada ligação lida por este leitor é verificada pelos nossos servidores antes de abrir: nas listas de sites de phishing e de software malicioso mantidas pela Trasimène, no Google Safe Browsing e quanto ao destino final de eventuais redirecionamentos.

Se a ligação for reconhecida como perigosa, não abre: surge um alerta, e cabe-lhe decidir se a abre mesmo assim. A data de registo do domínio, quando conhecida, é mostrada para ajudar a avaliar, mas não conta para o veredicto.

Esta verificação passa pelo leitor da aplicação: abra-o antes de apontar para o QR code. Um QR code lido com a câmara do telemóvel não é verificado. Se a VPN opcional da Trasimène estiver ativa, deteta depois a visita a um site que já consta das nossas listas e assinala-a na aplicação. Não bloqueia ela própria a página: só o Quad9, o serviço suíço a quem confia a resolução de nomes, afasta do seu lado os domínios maliciosos que conhece.

Em caso de dúvida, peça ao restaurante que lhe mostre o QR code na interface de administração ou num documento oficial: e não o do suporte da mesa.

A vigilância continua a ser a primeira linha de defesa. Um olhar rápido antes de digitalizar, ler o URL antes de escrever, fazer uma pergunta em caso de dúvida: estes hábitos simples bastam para travar a esmagadora maioria dos ataques por QR code. E, com a aplicação de segurança certa, não há razão para não os automatizar.

Fontes

Trasimène: segurança móvel

Proteja-se contra o phishing por QR code

Descarregar Trasimène →