QR code inesperado em encomenda: o que fazer antes de digitar qualquer credencial de conta

Comece se colocando em um dos três estados

Um QR code em uma encomenda que você não esperava — remetente misterioso, etiqueta de “devolução” ou “reenvio”, bilhete pedindo para confirmar um endereço — é um link que você não solicitou. A pergunta útil não é “esta encomenda é real?”, mas “até onde este código chegou nas minhas contas?”.

Use esta tabela para identificar seu estado antes de fazer qualquer outra coisa.

Não escaneie o código como teste, nem em um aparelho reserva. O escaneamento é exatamente a etapa que carrega a página.

Estado A: o código ainda não foi escaneado

Você não precisa identificar o remetente para se proteger. Precisa evitar usar o caminho impresso.

1. Não escaneie o código e não abra nenhum link curto impresso ao lado dele.
2. Guarde a embalagem e a etiqueta. Fotografe a etiqueta, a linha do remetente e qualquer número de rastreamento. Isso é para seus próprios registros, não prova de que o remetente é legítimo.
3. Verifique se há uma entrega que você realmente pediu. Use o app da transportadora ou do varejista, ou um site que você mesmo acessa, não o telefone ou link da etiqueta.
4. Se o pacote é genuinamente inesperado e você não consegue associá-lo a um pedido, trate-o como não solicitado. O que você pode fazer com ele depende de onde mora; este artigo não dá orientação jurídica para nenhum país.
5. Denuncie se quiser. Nos EUA, a FTC publica orientações ao consumidor sobre golpes com mensagens e encomendas. As vias de denúncia variam por país, então use a autoridade de defesa do consumidor local em vez de presumir que um processo dos EUA se aplica.

Uma encomenda que chega sem pedido correspondente não é automaticamente um crime, e um QR code não é automaticamente malicioso. O ponto é que você não consegue saber só pela etiqueta, então não precisa correr o risco para descobrir.

A FTC alerta que um QR code em uma encomenda inesperada pode levar a um site de phishing que rouba informações de login ou de pagamento, ou a malware. Fonte

Estado B: escaneado, mas nada digitado

Se o código abriu uma página e você parou antes de digitar qualquer coisa, sua principal tarefa é confirmar o estado real da conta por um caminho que você controla.

1. Feche a página ou o pedido de app. Não “faça login para cancelar” nem “confirme a entrega” na página que o código abriu.
2. Abra o app oficial do serviço, ou digite o endereço dele você mesmo em uma nova aba do navegador. Não reutilize o link do escaneamento.
3. Verifique se o evento alegado existe. Se a página dizia que um pacote estava retido, procure o mesmo aviso dentro da área da sua conta na transportadora ou no varejista. Se não houver nada lá, a página não era um aviso real.
4. Não instale nada que a página ofereça. Um pedido de instalação de app vindo de um QR code em encomenda não é uma exigência de entrega que você possa verificar.
5. Anote o que a página pediu — senha, número de cartão, código de uso único, taxa de entrega — para descrever com precisão se for denunciar.

Escanear sozinho não prova que suas contas foram acessadas. O risco neste estado é o que você faz em seguida, então a próxima ação segura é parar de usar o caminho impresso.

Estado C: credenciais foram digitadas

Este é o estado que exige ação, e a ordem importa.

Se credenciais de conta foram digitadas depois de escanear esse código, a FTC recomenda trocar a senha e ativar a autenticação de dois fatores. Fonte

Siga estas etapas em ordem, usando o app da própria conta ou uma página que você mesmo acessa:

1. Troque a senha pelo app ou site oficial, não pela página que o código abriu.
2. Ative a autenticação de dois fatores se ainda não estiver ativa. Prefira um app autenticador ou uma chave física ao SMS quando a conta oferecer essa opção.
3. Troque a mesma senha em qualquer lugar onde você a reutilizou. Uma senha digitada em uma página de phishing deve ser tratada como conhecida por outra pessoa.
4. Se você digitou dados de cartão ou bancários, contate a emissora do cartão ou o banco pelo número no seu cartão ou pelo app oficial. Não use um número ou link da encomenda ou da página escaneada. Este artigo não promete que um pagamento possa ser revertido.
5. Mantenha o acesso ao seu método de recuperação até terminar. Não remova seu e-mail, telefone ou códigos de recuperação antes de confirmar que a troca de senha e a configuração de dois fatores estão funcionando, ou você pode se trancar para fora.
6. Revise a atividade recente da conta no app oficial: locais de login, apps conectados, regras de encaminhamento e métodos de pagamento. Desfaça qualquer coisa que não reconheça.

Remover uma conexão de login ou editar um perfil não é o mesmo que excluir dados armazenados. Se você está encerrando uma conta por completo, siga o processo de encerramento do próprio provedor e mantenha um método de recuperação funcional até a confirmação do encerramento.

Use caminhos de conta conhecidos, não o código impresso

Uma etiqueta de encomenda pode imprimir qualquer endereço, telefone ou QR code. Ela não pode provar quem é o dono do destino. Para qualquer decisão de conta — redefinição de senha, confirmação de entrega, pagamento, reembolso — comece por um caminho em que você já confia:

Se uma mensagem diz ser de uma conta de suporte e pede para você levar a conversa para um app de chat ou “verificar” fazendo login, vale a mesma regra: confirme pelo app do próprio serviço. Para essa situação separada, veja verificação de contas falsas de suporte ao cliente em redes sociais.

Uma correspondência de nome de usuário público é uma pista, não prova de propriedade. Se você está tentando identificar quem está por trás de um perfil que entrou em contato, uma busca de nome de usuário como o TraceSeek pode mostrar onde um perfil aparece em mais de 3.000 plataformas, mas não altera configurações de conta, não emite códigos de recuperação, não recupera dinheiro nem verifica uma identidade real.

O que não concluir

• Nem todo escaneamento de QR code instala malware. A FTC descreve phishing e malware como resultados possíveis; não diz que todo escaneamento causa um ou outro.
• Uma página escaneada que parecia real não é prova de que era real. Verifique o evento alegado dentro do app do próprio serviço.
• Uma encomenda sem pedido correspondente não identifica o remetente. Não trate um nome ou endereço de devolução na etiqueta como verificado.
• As regras para mercadorias não solicitadas variam por país. Este artigo não estende nenhuma regra nacional a outros mercados.
• Trocar uma senha não é garantia de recuperação. Reduz a exposição; se uma conta ou pagamento é restaurado depende do provedor.

Uma pequena ficha para copiar

Preencha isto antes de agir, para não ter que reconstruir depois:

• Estado: A / B / C
• Data e hora do escaneamento (se houve):
• O que a página ou o pedido dizia ser (transportadora, varejista, banco, outro):
• O que ele pediu (senha / código de uso único / número de cartão / taxa / instalação de app):
• O que você digitou, se algo:
• Contas afetadas:
• Senha trocada: sim / não — pelo app ou site oficial: sim / não
• Dois fatores ativados: sim / não
• Método de recuperação ainda acessível: sim / não
• Emissora do cartão contatada (se dados de cartão foram digitados): sim / não
• Denunciado a (autoridade local, transportadora, varejista):

Quando terminar, a próxima ação útil é confirmar cada conta afetada pelo próprio app: senha trocada, dois fatores ativos, método de recuperação funcionando e nenhuma sessão ou app conectado não reconhecido.