Alguns QR codes são tão sensíveis quanto uma senha

Reconheça um QR de configuração

Ao ativar TOTP, um site pode mostrar uma imagem otpauth:// com a chave secreta. O QR de transferência do Google Authenticator pode incluir várias credenciais desse tipo em um lote.

Essas imagens não são recibos inofensivos. Quem consegue copiar o conteúdo pode configurar outro autenticador, independentemente de ainda possuir o código temporário visível na tela.

Importe com menos cópias intermediárias

Prefira ler o QR diretamente pela câmera autorizada ou por um arquivo local seu. Evite mandar imagem para outra pessoa, colar em um editor on-line ou deixar capturas em álbuns compartilhados.

A prévia de importação deve ser conferida antes de salvar. O nome mostrado não garante identidade do emissor, por isso compare com as contas que você mesmo ativou.

Se a imagem foi publicada

Excluir uma publicação ajuda a reduzir disseminação, mas não muda a chave que já foi vista. Entre no serviço legítimo e refaça a configuração do segundo fator seguindo os passos de segurança fornecidos ali.

Também revise onde outras cópias podem ter sido salvas, incluindo backups de fotos. Nunca teste o QR de outra pessoa sem permissão.

Posso enviar o QR code ao suporte técnico?

Não envie QR real de exportação ou configuração. Para demonstrar um problema, use QR sintético sem acesso a contas reais.