Os códigos QR são seguros? O que podem fazer ao telemóvel

A resposta curta: o código em si é inerte. É um padrão que descodifica para um bocado de texto — normalmente um endereço web. Não tem qualquer capacidade de instalar software, executar código ou ler seja o que for do telemóvel que o leu.

O que pode correr mal tem que ver exclusivamente com o destino — e com saber se o código que leu é aquele que o dono lá pôs.

O que um código QR fisicamente não consegue fazer

• Não pode conter um vírus. Não há nada para correr. O texto descodificado é entregue ao sistema operativo, que decide o que propor — normalmente «abrir esta ligação».
• Não pode instalar uma aplicação sozinho. Pode levar a uma página da loja, mas instalar continua a exigir uma ação explícita sua e as verificações da própria loja.
• Não pode ler os seus contactos, fotografias ou mensagens. A leitura não concede permissão nenhuma.
• Não pode fazer um pagamento. Um código pode abrir uma página de pagamento; o pagamento continua a exigir que o autorize numa aplicação ou no interface do banco.
• Não pode ligá-lo ao Wi-Fi em silêncio de nenhuma forma que não tenha confirmado — o telemóvel pergunta primeiro.

O que pode mesmo correr mal

Três coisas, por ordem da frequência com que acontecem:

1. O destino é uma página de phishing. Uma cópia convincente de um banco, de uma empresa de encomendas ou de um site de pagamento de estacionamento. É este o jogo todo, e o código é apenas o meio de entrega — em nada diferente de uma ligação numa mensagem, exceto que não a consegue ler antes de tocar.
2. O código não é do dono. Um autocolante por cima do verdadeiro num parquímetro, numa ementa, num cartaz de solidariedade. O negócio não sabe, o cliente não tem razão para desconfiar, e o mundo físico não tem equivalente a um aviso do navegador.
3. O destino pede algo que não devia. Dados de acesso, um número de cartão, uma aplicação instalada fora da loja. O ataque é a página; o código apenas o levou até lá.

Como ler em segurança, na prática

• Leia o endereço antes de tocar. Qualquer telemóvel moderno mostra o URL em pré-visualização depois da leitura, e é este o hábito mais útil que existe. Olhe para o domínio — a parte imediatamente antes da primeira barra isolada — e não para o resto.
• Desconfie primeiro do contexto físico. Um autocolante por cima de um código impresso, um código num poste de iluminação, um código colado com fita a um parquímetro: são estes os que merecem dúvida, mais do que qualquer coisa sobre o padrão em si.
• Nunca introduza dados de pagamento ou de acesso numa página a que chegou lendo um código na rua. Vá ao banco ou ao serviço da maneira que costuma ir.
• Desconfie da urgência. «A sua encomenda está retida», «a sua multa duplica amanhã» — a pressão é a constante de qualquer burla, no papel tanto como no e-mail.
• Verifique se o certificado é verdadeiro, e não apenas se existe. Um cadeado significa que a ligação é cifrada, não que o site é honesto. As páginas de phishing também têm cadeado.

Se os códigos são seus

O risco desloca-se: o que está em jogo é a confiança dos seus clientes, e há três defesas práticas.

• Use um domínio que as pessoas reconheçam. Uma ligação curta no seu próprio domínio torna um autocolante falso evidente para quem leia o endereço. Um domínio de encurtador desconhecido ensina os seus clientes a aceitar tudo.
• Imprima o endereço por baixo do código. Uma linha, e transforma um quadrado misterioso numa afirmação que se pode verificar.
• Olhe para a sua própria sinalética. A adulteração é um ataque físico e precisa de uma verificação física — quem abre de manhã pode dar uma vista de olhos aos códigos.

Um código dinâmico ajuda aqui de uma maneira fácil de não ver: se um código alguma vez for mal usado ou se uma página de campanha for comprometida, reaponta-se em segundos em vez de mandar alguém substituir material impresso.

O que a leitura diz ao dono sobre si

Vale a pena saber, porque «seguro» também quer dizer «o que está a ser recolhido». Neste serviço, uma leitura regista a hora, que código, o tipo de dispositivo, o sistema operativo e o navegador tal como o pedido os declara, o referenciador se o navegador o enviar, e um resumo com sal do endereço IP usado para contar visitantes únicos.

Não é registado: a sua identidade, o seu número de telefone, os seus contactos — e localização nenhuma. Muitos serviços deduzem o país a partir do endereço IP; este não o recolhe. Outros fornecedores fazem diferente, e é precisamente por isso que a pergunta vale a pena ser feita a quem quer que seja o dono do código que está a ler.

Respostas rápidas

• Um código QR pode dar um vírus ao meu telemóvel? Não. Descodifica para texto; não há nada para executar.
• Pode roubar-me dados só por eu o ler? Não. A leitura não concede permissão nenhuma. Uma página que visite a seguir pode tentar enganá-lo para que escreva alguma coisa.
• É seguro ler um código qualquer na rua? Ler, é. Confiar no sítio para onde leva é que é a questão — leia primeiro o endereço.
• Como é que dou por um código adulterado? Procure um autocolante por cima de outro, e leia o domínio depois da leitura.
• Os códigos nos restaurantes são seguros? Em geral sim, mas aplica-se a mesma verificação: o domínio deve parecer o do restaurante, e não um encurtador qualquer.
• O dono fica a saber quem eu sou? Não. Aqui, o registo não tem identidade nem localização — só hora, dispositivo, navegador e um IP resumido.