E-mails falsos de avaliação de desempenho de RH usam códigos QR para roubar suas senhas

Recebemos um e-mail que parecia um aviso oficial do RH sobre uma avaliação de desempenho. Menciona atualizações salariais, benefícios e prazos. Também existe um código QR para acessar seu arquivo.

A mensagem afirmava ser de um escritório interno de RH. Em vez disso, obriga-nos a escanear um código QR para acessar sua avaliação. Essa configuração é um movimento clássico de pesca. Em muitos casos, esses golpes tentam afastar você do computador e colocá-lo no telefone, onde é difícil verificar os links.

Então, vamos explicar por que esta mensagem não é absolutamente confiável e o que há de tão especial nela.

Inscreva-se para receber meu relatório CyberGuy gratuito

• Receba minhas melhores dicas técnicas, alertas de segurança instantâneos e ofertas exclusivas diretamente na sua caixa de entrada.
• Para conhecer maneiras simples e reais de detectar fraudes antecipadamente e permanecer seguro, visite CyberGuy.com – Acreditado por milhões de pessoas que assistem CyberGuy na TV todos os dias.
• Além disso, você tem acesso instantâneo a mim O guia definitivo de sobrevivência a golpes Gratuito quando você se cadastra.

Um falso golpe de texto de violação de trânsito usa códigos QR para roubar informações de pagamento

Sinais vermelhos de fraude por e-mail com código QR que você deve observar

Este e-mail foi projetado para parecer casual e urgente ao mesmo tempo. Dê uma olhada mais de perto e as bandeiras vermelhas começarão a aumentar.

Sinal de alerta nº 1: o e-mail do remetente não corresponde à empresa

A mensagem mostra “CyberGuy” como remetente. O endereço de e-mail original é mario@toituresphenix.com. Esse domínio não tem nada a ver com a marca que afirma representar. Este é um dos maiores sinais de alerta. Empresas legítimas enviam avisos de RH de seu próprio domínio. Se um domínio parecer não relacionado, trate-o imediatamente como suspeito.

Bandeira vermelha nº 2: e-mail cria urgência com prazos

O e-mail diz que você deve agir até 15 de maio de 2026. Os prazos fazem as pessoas reagirem mais rapidamente. Os golpistas dependem dessa pressão, então você pula as verificações básicas. Os sistemas reais de RH usam prazos. A diferença é como eles são distribuídos. Eles não dependem de um e-mail aleatório com um código QR.

Bandeira vermelha nº 3: um código QR é um importante apelo à ação

Uma mensagem solicitará que você escaneie o código QR para acessar seu arquivo. Essa é uma nova tática de pesca “Quishing.”

Por que é importante:

Muitas empresas enviam um link direto ou solicitam que você faça login através de um portal conhecido. Eles não forçam o acesso apenas por QR para algo tão sensível como detalhes de remuneração.

Bandeira vermelha nº 4: a saudação é genérica e não pessoal

O e-mail começa com “Prezadas dicas técnicas”. Parece uma lista de discussão ou um espaço reservado. Mensagens legítimas de RH geralmente abordam você pelo seu nome completo. Eles geralmente fornecem detalhes específicos dos funcionários que os golpistas não conseguem duplicar facilmente.

Sinal de alerta nº 5: o e-mail usa uma linguagem vaga do sistema de RH

O e-mail menciona um “sistema seguro de acesso ao RH”, mas nunca o nomeia. Não existe uma plataforma identificável como Workday ou ADP. Essa ambiguidade é intencional. Isso evita fornecer algo que você possa verificar.

Bandeira vermelha nº 6: a marca parece real, mas parece opressora

A mensagem contém o logotipo da Microsoft. Isso não significa que a Microsoft o enviou. Os logotipos são fáceis de copiar. O layout tenta imitar um aviso corporativo. No entanto, a formatação parece normal. Os verdadeiros e-mails internos geralmente seguem um modelo de empresa consistente que você já viu antes.

Bandeira Vermelha #7: Uma bandeira de grande importância aumenta o estresse

A mensagem está marcada como de alta importância. Esse visual impulsiona o desejo novamente. Os golpistas empilham esses sinais para que você sinta que não pode ignorar a mensagem.

Bandeira vermelha nº 8: as instruções ignoram os hábitos normais de login

Em vez de solicitar que você faça login no portal de RH, o e-mail solicita que você digitalize e acesse o arquivo diretamente. Como os dados confidenciais dos funcionários não são tratados. As empresas desejam ter um sistema de login seguro, em vez de abrir um arquivo a partir de um código QR.

FBI alerta sobre fraude de código QR disfarçada de pacotes misteriosos

Os golpes de phishing com código QR podem ocultar links suspeitos, dificultando aos usuários a verificação do destino antes de abri-lo. (Imagens Hispanolísticas/Getty)

Por que os golpes de phishing com código QR estão aumentando

Os códigos QR parecem seguros porque os vemos em todos os lugares. Os restaurantes os utilizam. As companhias aéreas os utilizam. Esse contato diminui suas defesas. Os golpistas aproveitam essa confiança.

Eles incorporam links maliciosos nos códigos para que você não possa visualizá-los facilmente. Depois de digitalizado, você pode entrar em uma página de login falsa que parece real. A partir daí, é um caminho rápido para credenciais roubadas.

O que acontece se você digitalizar um código QR malicioso?

Se o código QR levar a um Página de pescaAlgumas coisas podem acontecer:

• Você insere seus dados de login e os fornece
• O malware é baixado silenciosamente para o seu dispositivo
• A página pede mais informações pessoais

Em alguns casos, os invasores usam um login roubado para acessar os sistemas da empresa ou sua conta de e-mail. Isso pode levar a mais ataques aos seus contatos.

Maneiras de se proteger contra golpes de e-mail com código QR

Esses golpes dependem de velocidade e distração. Vá com calma e algumas verificações simples podem proteger seus dados.

1) Não leia códigos QR inesperados

Se o e-mail solicitar que você escaneie o código, faça uma pausa. Acesse o site oficial sem usar o código.

2) Verifique cuidadosamente o domínio do remetente

Olhe além do nome de exibição. Verifique o endereço de e-mail completo. Se não corresponder à empresa, não confie nela.

3) Use seu modo de login normal

Acesse os sistemas de RH digitando um URL que você já conhece ou usando um marcador salvo. Evite links e códigos em e-mails.

4) Procure saudações gerais

Mensagens que omitem seu nome verdadeiro levantam suspeitas. Muitas vezes, isso é um sinal de phishing em massa.

Esteja ciente dos e-mails fraudulentos de extorsão que afirmam que seus dados foram roubados

Os funcionários devem acessar os sistemas de RH por meio de portais oficiais, em vez de escanear códigos QR ou clicar em links em e-mails inesperados. (gpointstudio via Getty Images)

5) Confirme com sua empresa

Se algo parecer estranho, pergunte diretamente à sua equipe de RH. Use um método de contato conhecido, não e-mail.

6) Use um software antivírus forte

Um software antivírus forte pode bloquear links maliciosos, sinalizar páginas de phishing e impedir malware antes de ser instalado. Obtenha minhas escolhas dos melhores vencedores de proteção antivírus de 2026 para seus dispositivos Windows, Mac, Android e iOS aqui Cyberguy.com

7) Considere um serviço de exclusão de dados

Os golpistas costumam usar dados pessoais encontrados online para fazer com que os e-mails pareçam mais confiáveis. Um serviço de remoção de dados reduz sua exposição removendo suas informações dos sites de corretoras. Confira minhas principais opções de serviços de remoção de dados e faça uma verificação gratuita para ver se suas informações pessoais já estão disponíveis na web visitando Cyberguy.com

8) Mantenha seus dispositivos e aplicativos atualizados

As atualizações de segurança corrigem vulnerabilidades conhecidas. Ative as atualizações automáticas para estar sempre protegido.

9) Habilite a autenticação de dois fatores

Mesmo que seu login seja roubado, uma segunda etapa de verificação, como autenticação de dois fatores (2FA) pode impedir que invasores acessem sua conta.

Junte-se ao CyberGuy Live: bloqueie seu telefone em 30 minutos (sábado, 13 de junho, 10h horário do leste dos EUA)

Seu telefone contém seu e-mail, senhas, fotos, aplicativos bancários e dados pessoais. Nesta aula online gratuita e ao vivo, Kurt Cyberguy orienta você passo a passo através de correções simples de segurança do telefone que você pode fazer em tempo real. Você aprenderá como melhorar suas configurações de privacidade, identificar os golpes telefônicos mais recentes, usar ferramentas de segurança confiáveis ​​e sair com uma lista de verificação simples para se manter seguro. Cadastre-se aqui: CyberGuyLive. com

Principais conclusões de Kurt

Os e-mails de phishing continuam a evoluir. Hoje, é um código QR vinculado a um aviso falso de RH. Amanhã, pode ser qualquer outra coisa que pareça rotineira. Seguro é fácil de fazer. Não confie na forma como o e-mail informa quando há informações confidenciais envolvidas. Use seu próprio caminho.

Clique aqui para baixar o aplicativo Fox News

Se uma mensagem pede para você trabalhar mais rápido com um código QR, você para e verifica primeiro ou confia nele porque parece familiar? Informe-nos escrevendo para nós em Cyberguy.com

Inscreva-se para receber meu relatório CyberGuy gratuito

• Receba minhas melhores dicas técnicas, alertas de segurança instantâneos e ofertas exclusivas diretamente na sua caixa de entrada.
• Para conhecer maneiras simples e reais de detectar fraudes antecipadamente e permanecer seguro, visite CyberGuy.com – Acreditado por milhões de pessoas que assistem CyberGuy na TV todos os dias.
• Além disso, você tem acesso instantâneo a mim O guia definitivo de sobrevivência a golpes Gratuito quando você se cadastra.

Direitos autorais 2026 CyberGuy.com. Todos os direitos reservados.