Os sinais de alerta
- Autocolante sobre outro código: em parquímetros, cartazes ou menus. Se se pode descolar, suspeite.
- Encurtador desconhecido: oculta o destino real. Um negócio sério pode usar um próprio, mas não um aleatório.
- Domínio com erros:
paypa1.com,banco-seguro-verificacao.com, subdomínios longos que imitam uma marca. - Pressa e ameaça: «a sua conta será bloqueada», «pague em 10 minutos», «verifique para não perder a encomenda».
- Pedido impossível: um QR na rua que pede a palavra-passe do banco ou os dados do cartão.
Como comprovar na prática
- Use um leitor que mostre a URL e não abra automaticamente.
- Leia o domínio da direita para a esquerda: o que está antes da primeira barra é o que importa.
- Compare com o domínio oficial que já conhece, não com o que aparece no cartaz.
- Se o destino pedir login, feche e entre escrevendo a morada à mão.
- Se for um pagamento, abra a app do banco e cobre a partir do interior; não escaneie um QR que lhe enviam para «receber».
Porque HTTPS não basta
Um certificado apenas demonstra que a ligação está cifrada, não quem está por trás. Qualquer pessoa pode obter um para um domínio novo. A pergunta correta não é «tem cadeado?» mas sim «este domínio é o da empresa que diz ser?».
Regra: se o QR lhe pede para instalar uma app fora das lojas oficiais, dar acesso ao seu ecrã ou pagar por um meio que não reconhece, pare.
Se já o escaneou
Feche a página sem introduzir nada. Se escreveu credenciais, altere-as a partir da app ou do site oficial e ative a verificação em dois passos. Se deu dados de cartão, ligue para o banco e bloqueie o meio de pagamento. Se instalou um perfil ou uma app desconhecida, desinstale-a e reveja as permissões. Guarde uma captura do código e do cartaz: ajuda a reportá-lo.
Reporte o QR falso ao estabelecimento e, se estiver na via pública, à autoridade local ou à câmara municipal. Os códigos sobrepostos costumam afetar muitos utilizadores.
Perguntas frequentes
HTTPS é seguro?
Cifra, mas não prova a identidade.
Como vejo o destino?
Com um leitor que mostre a URL antes de abrir.
E se já o escaneei?
Feche, altere chaves e avise o banco se deu dados de pagamento.
Os QR da rua?
Sim, reveja se não há um autocolante sobreposto.