Os sinais de alerta
- Adesivo sobre outro código: em parquímetros, cartazes ou cardápios. Se dá para descolar, desconfie.
- Encurtador desconhecido: esconde o destino real. Um negócio sério pode usar um próprio, mas não um aleatório.
- Domínio com erros:
paypa1.com,banco-seguro-verificacion.com, subdomínios longos que imitam uma marca. - Pressa e ameaça: «sua conta será bloqueada», «pague em 10 minutos», «verifique para não perder o pacote».
- Pedido impossível: um QR na rua que pede a senha do banco ou os dados do cartão.
Como verificar na prática
- Use um leitor que mostre a URL e não abra automaticamente.
- Leia o domínio da direita para a esquerda: o que está antes da primeira barra é o que importa.
- Compare com o domínio oficial que você já conhece, não com o que aparece no cartaz.
- Se o destino pedir login, feche e entre digitando o endereço manualmente.
- Se for um pagamento, abra o app do banco e cobre por dentro; não escaneie um QR que te enviam para «receber».
Por que HTTPS não basta
Um certificado só demonstra que a conexão está criptografada, não quem está por trás. Qualquer pessoa pode obter um para um domínio novo. A pergunta correta não é «tem cadeado?» e sim «este domínio é o da empresa que diz ser?».
Regra: se o QR pedir para instalar um app fora das lojas oficiais, dar acesso à sua tela ou pagar por um meio que você não reconhece, pare.
Se você já escaneou
Feche a página sem inserir nada. Se digitou credenciais, troque-as pelo app ou pelo site oficial e ative a verificação em duas etapas. Se forneceu dados de cartão, ligue para o banco e bloqueie o meio de pagamento. Se instalou um perfil ou um app desconhecido, desinstale e revise as permissões. Guarde uma captura do código e do cartaz: ajuda a denunciá-lo.
Denuncie o QR falso ao estabelecimento e, se estiver na via pública, à autoridade local ou à prefeitura. Os códigos sobrepostos costumam afetar muitos usuários.
Perguntas frequentes
HTTPS é seguro?
Criptografa, mas não prova identidade.
Como vejo o destino?
Com um leitor que mostre a URL antes de abrir.
E se eu já escaneei?
Feche, troque as senhas e avise o banco se forneceu dados de pagamento.
E os QRs da rua?
Sim, verifique se não há um adesivo sobreposto.