Não confie em um QR até que ele seja aprovado.

Quishing é phishing por QR code: um atacante imprime, cola, envia por e-mail ou DM um QR code que, ao ser escaneado, abre uma página de roubo de credenciais, uma transação que drena carteira cripto, uma armadilha de WiFi aberto, ou uma intent do Android que instala malware. O próprio QR é apenas uma imagem, então filtros de links em e-mail e avisos do navegador nunca o veem — até que o celular da vítima já abriu o destino. A defesa tem que acontecer no momento do escaneamento, antes do celular seguir o link.

Três diferenças. O vetor de ataque é físico ou visual — uma etiqueta sobre o QR de um parquímetro, um folheto impresso imitando um cadastro de MFA, um QR de cardápio de restaurante trocado durante a madrugada — o que contorna filtros de gateway de e-mail completamente. As vítimas confiam mais em QR codes do que em links por e-mail; um QR parece um destino escolhido por quem imprimiu a superfície. E QR codes dinâmicos que passam por um encurtador podem ser redirecionados para um destino de phishing depois que o ativo impresso foi distribuído — um QR que era seguro na impressão pode se tornar hostil meses depois. Scanners de links estáticos respondem "esta URL é maliciosa agora", não "quem pode mudar para onde isso aponta".

Não aponte a câmera nativa do celular para ele — isso abre o destino imediatamente. Em vez disso, abra check.qr.abundera.ai no celular, escaneie o QR pela câmera na página (a decodificação acontece localmente; a imagem nunca sai do dispositivo) e leia o veredicto. Percorremos cada salto de redirecionamento, classificamos se o destino é controlável por terceiros depois que o QR foi impresso, e verificamos a reputação no Google Safe Browsing e outros agregadores. Veredictos Aprovado são seguros para abrir; veredictos Cuidado e Não prossiga explicam o porquê.

Etiquetas em parquímetros e carregadores de veículos elétricos que cobrem o QR legítimo com um que aponta para uma página de roubo de cartão de crédito — o padrão mais relatado de 2024-2025, observado em Austin, San Antonio e em todo o Reino Unido. QRs de cardápio de restaurante trocados por páginas de phishing durante a madrugada por um atacante que físicamente substitui o suporte de mesa. Folhetos de cadastro de MFA corporativo em banheiros de escritório que parecem oficiais, mas cadastram o dispositivo do atacante. QRs de convite de casamento distribuídos meses antes do evento, onde um comprometimento de conta de encurtador permite ao atacante redirecionar milhares de cartões impressos. QRs de pagamento cripto em terminais de ponto de venda cobertos com o endereço de carteira do atacante. O fio condutor: o QR impresso parece idêntico ao seguro.

As ferramentas existentes classificam se uma URL é atualmente maliciosa. Nós também classificamos se o destino é controlável por terceiros após a impressão do QR — uma propriedade que chamamos de mutabilidade. Um QR dinâmico limpo roteado por um encurtador ainda é de alto risco para uma etiqueta de parquímetro ou convite de casamento: o titular da conta do encurtador pode alterar o destino a qualquer momento. Exibimos essa postura de controle como um campo de veredicto de primeira classe, ao lado do veredicto de conteúdo de ameaça.

Não. O payload decodificado vai para nosso servidor por HTTPS para que possamos percorrer a cadeia e consultar bancos de dados de reputação — isso é uma necessidade funcional, não uma escolha — mas nunca é armazenado. Os veredictos são armazenados em cache por um hash SHA-256 de um discriminador por tipo de payload concatenado com um salt secreto mantido pelo servidor. O payload original não pode ser reconstruído a partir de nenhuma entrada no cache.

qr.abundera.ai é um gerador que promete tudo no lado do cliente: nada sai do seu dispositivo. Este verificador de segurança transmite o payload decodificado para o servidor por necessidade. Separamos as duas superfícies para que a promessa de cliente único permaneça limpa no domínio do gerador, e a superfície com modelo de privacidade invertido fique claramente identificada aqui.

Plano Pro. Envie um QR para monitoramento e percorremos a cadeia periodicamente. Receba um e-mail quando os alvos de redirecionamento, o destino final ou o conjunto de operadores de serviços de redirecionamento mudar. Isso detecta o padrão de quishing mais comum: imprimir um QR limpo, trocar o destino para phishing meses depois e colher escaneamentos do ativo impresso.

Sim, no plano Pro. A API é RESTful e retorna um veredicto JSON estruturado com tipo de payload, classe de ameaça, mutabilidade, cadeia de redirecionamento, atribuição de controle por salto e sub-payloads encontrados. Projetada para integração em carteiras digitais, suítes de segurança mobile, filtragem de URL corporativa e enriquecedores de pré-visualização de links do Slack / Teams.

Não, por enquanto. O classificador é de código fechado enquanto o trabalho de patente subjacente está em processo de concessão. Podemos publicar implementações de referência de algoritmos divulgados após a concessão. O contrato da API é público e estável.