Detecção de Phishing com QR Code em Segurança de E-mail

Visão Geral

Phishing com QR code (quishing) é um vetor de ataque em rápido crescimento, onde URLs maliciosas são incorporadas em imagens de QR codes dentro de e-mails de phishing. Incidentes de quishing cresceram cinco vezes, de 46.000 para 250.000 entre agosto e novembro de 2025, com phishing de credenciais compreendendo 89,3% dos incidentes detectados. Filtros tradicionais de segurança de e-mail têm dificuldades porque QR codes não podem ser lidos por humanos ou scanners de URL padrão, e quando escaneados, os usuários geralmente usam dispositivos móveis pessoais que carecem de controles de segurança corporativos. Atacantes evoluíram para usar QR codes divididos (duas imagens separadas), QR codes aninhados e QR codes baseados em texto ASCII para evadir a detecção.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de phishing com QR code em segurança de e-mail
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Gateway de segurança de e-mail com capacidades de análise de imagem
• Compreensão da estrutura e codificação de QR codes
• Solução de gerenciamento de dispositivos móveis (MDM) ou defesa contra ameaças móveis
• Programa de treinamento de conscientização de segurança
• Plataforma SIEM para correlação e alertas

Conceitos Chave

Por Que o Quishing Funciona

1. Contorna Scanners de URL: Gateways tradicionais escaneiam URLs baseadas em texto, mas não conseguem decodificar URLs embutidas em imagens.
2. Desloca para Dispositivos Desprotegidos: E-mails corporativos chegam em sistemas seguros, mas o escaneamento do QR code ocorre em dispositivos móveis pessoais.
3. Confiança do Usuário: QR codes são normalizados na vida diária (pagamentos, cardápios, estacionamento).
4. Baixa Taxa de Detecção: Apenas 36% dos incidentes de quishing são identificados com precisão pelos destinatários.

Técnicas de Evasão (2025)

• QR Codes Divididos: QR code dividido em duas imagens separadas que parecem benignas individualmente (kit Gabagool PhaaS).
• QR Codes Aninhados: QR code dentro de um QR code, com o primeiro escaneamento levando a uma página intermediária.
• QR Codes ASCII: QR renderizado como caracteres de texto em vez de imagens, contornando a análise de imagem (12% dos ataques em janeiro de 2026).
• QR Codes Estilizados/Artísticos: QR codes personalizados com logotipos que evadem o reconhecimento de padrões.
• QR Code em Anexo PDF: QR code incorporado em um anexo PDF em vez do corpo do e-mail.

Desafios de Detecção

• A detecção baseada em padrões enfrenta um trade-off: ajuste agressivo causa falsos positivos, ajuste cauteloso causa perdas.
• Pontuação média de similaridade de 0,209 entre e-mails de quishing e e-mails legítimos com QR code.
• QR codes em anexos de imagem exigem OCR e processamento profundo de imagem.

Fluxo de Trabalho

Etapa 1: Habilitar Detecção de Ameaças Baseada em Imagem

• Configurar o gateway de e-mail para escanear imagens incorporadas em busca de QR codes.
• Habilitar processamento OCR em anexos de imagem (PNG, JPG, GIF, BMP).
• Implementar IA multimodal que combine processamento de imagem, OCR e análise NLP.
• Configurar o escaneamento de PDF para detectar QR codes dentro de anexos.
• Configurar a detecção para renderização de QR code ASCII/baseado em texto.

Etapa 2: Configurar Análise de URL de QR Code

• Extrair URLs de QR codes detectados e submetê-las a serviços de reputação de URL.
• Aplicar as mesmas políticas de escaneamento de URL às URLs extraídas de QR codes que às URLs baseadas em texto.
• Habilitar análise de sandbox em tempo real para páginas de destino decodificadas de QR codes.
• Configurar proteção no momento do clique para URLs extraídas de QR codes, onde possível.
• Bloquear domínios de phishing conhecidos extraídos de QR codes.

Etapa 3: Implementar Proteção no Lado Móvel

• Implementar defesa contra ameaças móveis (MTD) com capacidade de escaneamento de QR code.
• Implementar Palo Alto ALFA ou escaneamento de QR code seguro por design equivalente.
• Configurar políticas de MDM para alertar os usuários antes de abrir URLs escaneadas.
• Habilitar VPN corporativa/navegador seguro para destinos escaneados por QR code.
• Bloquear domínios conhecidos de coleta de credenciais no nível do proxy móvel.

Etapa 4: Construir Regras de Detecção

• Alertar sobre e-mails contendo apenas uma imagem e texto mínimo (padrão comum de quishing).
• Sinalizar e-mails com imagens de QR code de remetentes externos que enviam pela primeira vez.
• Detectar linguagem de urgência combinada com a presença de QR code.
• Alertar sobre e-mails que se passam por equipes de TI/segurança solicitando escaneamento de QR code para configuração de MFA.
• Monitorar temas comuns de quishing: redefinição de MFA, assinatura de documentos, notificação de correio de voz.

Etapa 5: Treinar Usuários no Reconhecimento de Quishing

• Atualizar o programa de conscientização de segurança para incluir cenários de phishing com QR code.
• Realizar campanhas de simulação de quishing usando QR codes controlados.
• Ensinar os usuários a verificar as URLs de destino do QR code antes de inserir credenciais.

…