QRLJacking: o que é, como funciona o roubo de WhatsApp via QR Code e como evitar o golpe

O QRLJacking (Quick Response Code Login Jacking) é um golpe digital aplicado através de QR Codes de login falsos. O golpista sequestra a conta da vítima em aplicativos que usam códigos de resposta rápida para acesso, como o WhatsApp Web, por exemplo.

Veja, a seguir, o que é o QRLJacking, como acontece e quais são as medidas necessárias para não ter dados vazados, e agir, caso clique em um QR Code de login malicioso.

O que é QRLJacking?

QRLJacking é uma técnica de engenharia social usada para atacar aplicativos que utilizam QR Code como forma de login. O código malicioso imita um legítimo, mas em vez de permitir o acesso, sequestra a conta da pessoa.

O responsável pelo golpe passa a ter acesso a todas as informações e conversas da vítima. O objetivo pode ser desde compartilhar conteúdos em mensagens falsas a encontrar dados bancários, senhas e qualquer tipo de conteúdo sigiloso que possa ser usado em troca de dinheiro ou em outras ameaças e ataques. Tudo acontece de forma remota, sem que a pessoa perceba a invasão.

Como funciona o roubo de WhatsApp via QR Code?

O roubo do WhatsApp por QR Code pode acontecer na versão do mensageiro para computadores, celulares secundários, tablets ou demais dispositivos que possam ser conectados. Isso porque o acesso é feito com a leitura de um código a partir do próprio app logado no celular e acontece sem uma segunda etapa de verificação.

O golpista cria um QR Code falso e o exibe em uma página, também falsa, criada para interceptar a autenticação que a vítima acredita estar fazendo. A página é acessada a partir de links usados como iscas em anúncios prometendo prêmios, por exemplo. Após clicar no link, a pessoa é solicitada a confirmar o login no WhatsApp, fazendo a leitura de um QR Code falso e, em vez de ganhar um prêmio, tem sua conta sequestrada.

Como evitar o roubo de WhatsApp via QR Code?

Para evitar o roubo de WhatsApp por QR Code, basta ter certeza de estar fazendo login no site real do aplicativo para versão web. A URL oficial é: https://web.whatsapp.com/. Lembre-se também que uma vez feito o acesso através desse link, o aplicativo só pede uma nova autenticação pelo celular após 14 dias de inatividade e depois de 30 dias sem uso no computador.

Desconfie de qualquer pedido de login dentro desses períodos e feitos em outros canais que não seja a página oficial do WhatsApp Web. Além disso, sempre verifique a URL e os detalhes da página onde o código de autenticação é exibido, antes de escanear qualquer QR Code de acesso.

Você também pode contar com aplicativos específicos para escaneamento de QR code e evitar golpes como QRLJacking. Apps como Kaspersky QR Scanner e Norton Snap QR Code Reader verificam a segurança do link gerado pelo código, antes de completar o redirecionamento.

Tem como identificar se um QR Code é oficial do WhatsApp?

Sim, é possível identificar se um QR Code de login é oficial do WhatsApp, já que o código original é encontrado exclusivamente no site web.whatsapp.com. Qualquer código exibido em URLs diferentes é falso.

Por isso, verifique a URL da página onde o código está sendo mostrado antes de escanear o QR Code do WhatsApp. Lembrando que as aplicações específicas para leitura de QR Codes também podem ajudar nessa identificação.

Quais os riscos de ter a conta do WhatsApp invadida?

A invasão por QRLJacking acontece de forma silenciosa e pode passar desapercebida. Assim, fica mais difícil de saber que o WhatsApp foi clonado, aumentando ainda mais os riscos desse golpe. Entre os mais comuns, estão:

• Envio de mensagens fraudulentas no nome da vítima;
• Uso de informações sigilosas, como dados bancários e senhas compartilhadas em conversas;
• Ameaças ou chantagens com capturas de telas de conversas comprometedoras da vítima;
• Compartilhamento de dados confidenciais como localização e tipo de SIM com outros servidores maliciosos.

O que fazer caso minha conta do WhatsApp tenha sido roubada?

Você pode conferir se sua conta do WhatsApp está conectada em um aparelho desconhecido e interromper o acesso, caso suspeite ter sido vítima de QRLJacking. Assim, você encerra o acesso do golpista e também protege sua conta do WhatsApp.

É possível recuperar uma conta do WhatsApp roubada?

Sim, para recuperar um WhatsApp clonado basta reinstalar o aplicativo no seu celular e fazer um novo acesso com código de verificação. Seu número de celular será verificado por código SMS e, caso você tenha ativada a verificação em duas etapas, será necessário inserir seu PIN de seis dígitos, para que sua conta possa ser acessada de forma segura novamente.

Qual a diferença entre QRLJacking e outros tipos de ataques via QR Code?

A diferença entre QRLJacking e outros tipos de ataques via QR Code está principalmente no objetivo e na técnica utilizada para explorar vulnerabilidades dos códigos de resposta rápida. Veja as principais diferenças na tabela abaixo:

Tipo de Ataque	Objetivo	Técnica
QRLJacking	Sequestrar sessões de login.	Página de phishing imita página de login e QR Code falso autentica o acesso para atacante.
Redirecionamento de URL	Redirecionar para sites maliciosos.	QR Code contém URL que leva a sites com malware.
Distribuição de Malware	Infectar dispositivo com malware.	Faz o download de arquivos maliciosos ou explora vulnerabilidades via QR Code
Engenharia Social	Obter informações sensíveis.	Pede para vítima preencher formulários falsos para coleta de dados pessoais via QR Code
Pagamento Fraudulento	Desviar fundos para contas do atacante.	QR Code redireciona transações financeiras para destinos fraudulentos.