O que um código pode e não pode fazer
Descodificar um símbolo dá ao seu telemóvel uma cadeia de caracteres. Essa cadeia pode ser um URL, um registo Wi-Fi, um cartão de contacto, um número de telefone ou texto simples. Nada no formato é executado. O telemóvel decide o que oferecer e você decide se aceita.
A linha entre ler e agir
- Uma leitura não pode instalar uma aplicação por si só Um código pode apontar para uma página da loja de aplicações. A instalação continua a precisar do seu toque e da sua conta.
- Uma leitura não pode efetuar um pagamento por si só Pode abrir um ecrã de pagamento. A transferência precisa que a confirme, normalmente com uma verificação facial ou de impressão digital.
- Uma leitura pode ligar-se a uma rede sem grandes cerimónias Os registos Wi-Fi foram concebidos para um só toque. Esse é o tipo de carga útil que merece mais cautela num cartaz de um estranho.
- Uma leitura pode abrir uma página que parece exatamente igual a uma verdadeira Este é o ataque na sua totalidade. A página, e não o quadrado, é que fica com o número do cartão.
Como as fraudes realmente funcionam
O padrão dominante é físico. Alguém imprime um autocolante e coloca-o sobre o código real num parquímetro, num posto de carregamento, numa mesa de restaurante ou num aviso de entrega. A substituição aponta para uma cópia da verdadeira página de pagamento. Ninguém quebrou qualquer criptografia. Cobriram um pedaço de papel com outro pedaço de papel.
O segundo padrão chega por e-mail ou carta: um código numa mensagem sobre uma portagem não paga, uma encomenda retida ou uma conta suspensa. Colocar a hiperligação dentro de uma imagem faz com que passe pelos filtros que leem texto. A urgência é o sinal de alerta, não o formato.
O terceiro é um código que conduz a uma página de início de sessão de um serviço que utiliza. Chega a partir de um objeto físico, pelo que parece menos um e-mail de phishing, e é exatamente por isso que funciona.
Quatro verificações antes de tocar
- Leia o domínio na pré-visualização A maioria das câmaras mostra a hiperligação descodificada antes de a abrir. Olhe para o próprio domínio, não para as palavras amigáveis ao lado. Uma hiperligação longa com uma marca familiar enterrada no meio não é essa marca.
- Sinta o autocolante Passe um dedo sobre o código num parquímetro ou numa mesa. Uma camada de vinil sobre papel impresso é o sinal mais fiável de adulteração.
- Escreva o endereço para qualquer coisa que envolva dinheiro Para estacionamento, portagens ou uma fatura, abra a aplicação do operador ou escreva o endereço que já conhece. Ignore o quadrado por completo.
- Trate um código Wi-Fi como uma rede que lhe foi entregue Ligar-se significa confiar os metadados do seu tráfego ao operador. Veja como funcionam os códigos QR de Wi-Fi para saber o que o registo contém.
Segurança quando cria um
A questão muda de direção quando é você a gerar um código. Agora o risco é que a sua carga útil chegue ao servidor de outra pessoa, ou que todas as leituras futuras sejam registadas.
| Pergunta | Carregamento ou gerador dinâmico | Vaultaire |
|---|---|---|
| Onde a carga útil é processada | Frequentemente no servidor do fornecedor | No seu navegador |
| Quem pode ler uma palavra-passe de Wi-Fi que codifica | Quem detiver os registos do servidor | Ninguém, nunca sai do separador |
| Para onde vai uma leitura | Através de um redirecionamento do fornecedor, se for dinâmico | Diretamente para o conteúdo que introduziu |
| Rastreio de leituras | Frequentemente incluído | Nenhum, não há nada com que rastrear |
O gerador do Vaultaire cria apenas códigos estáticos. Constrói o símbolo localmente, descodifica novamente o PNG e o SVG concluídos com um leitor separado e desbloqueia a transferência após o conteúdo descodificado corresponder ao que reviu. Essa verificação é o que impede que um registo corrompido chegue à impressora. Não diz nada sobre se o destino que introduziu é fiável, e nenhum gerador pode responder a isso.
FAQ sobre a segurança dos códigos QR
Um código QR pode dar um vírus ao meu telemóvel?
A leitura por si só não instala nada. Um código armazena texto. O perigo começa depois de o texto se tornar numa ação: uma ligação que abre, uma página de aplicação a partir da qual faz uma instalação, uma rede à qual se liga ou um pagamento que aprova.
Como funcionam as fraudes com códigos QR?
Geralmente, um autocolante colocado sobre um código real num parquímetro, numa mesa ou numa encomenda. A substituição envia-o para uma página que copia a verdadeira e pede um número de cartão ou um início de sessão.
Como posso verificar um código antes de o abrir?
Leia o domínio na faixa de pré-visualização da sua câmara, não as palavras à sua volta. Verifique se o código está impresso na superfície em vez de colado sobre outro. Para qualquer coisa que envolva pagamentos, introduza o endereço que já conhece.
Os códigos QR de Wi-Fi são seguros?
Um código Wi-Fi liga-se à rede que nomeia, e o operador vê os metadados do seu tráfego como em qualquer outra rede. Ler um código de um cartaz desconhecido coloca-o na rede de outra pessoa, o que é o verdadeiro risco.
É seguro usar um gerador de código QR?
Depende do destino do conteúdo. Muitos carregam o conteúdo ou emitem um código dinâmico que encaminha cada leitura através de um redirecionamento e a regista. Um gerador que é executado no seu navegador e cria um código estático não envia nada para lado nenhum.
Devo usar uma aplicação de leitura de QR?
A câmara integrada é suficiente nos telemóveis atuais e mostra a ligação antes de a abrir. As aplicações de leitura adicionais pedem acesso à câmara e frequentemente adicionam o seu próprio rastreio, o que troca uma pequena conveniência por um custo real.