Cos’è il quishing? Come funziona il phishing tramite codici QR

I codici QR sono ormai ovunque: sui tavoli dei ristoranti, sui parchimetri, sugli avvisi di consegna e persino nelle email di lavoro. La maggior parte delle persone li scansiona senza pensarci due volte, ed è proprio su questa comodità che fanno leva i criminali informatici.

Il quishing è un tipo di attacco informatico sempre più diffuso che sfrutta i codici QR per indurre le vittime a condividere password, dati di pagamento o informazioni personali. Vediamo come funzionano questi attacchi e cosa puoi fare per proteggerti.

Il quishing (phishing tramite codice QR) è un tipo di attacco di phishing in cui i criminali informatici utilizzano dei codici QR per indirizzare le vittime verso siti falsi o indurle a scaricare malware. Questo tipo di attacco è conosciuto anche come QR code phishing, QR phishing o, più semplicemente, truffa con codice QR.

Un codice QR (Quick Response) è un codice a barre bidimensionale che puoi scansionare con la fotocamera dello smartphone. Può contenere URL e collegamenti rapidi a istruzioni di pagamento, dati di contatto, credenziali Wi-Fi e molto altro. È un sistema estremamente pratico: basta inquadrare il codice con il telefono e scansionarlo per accedere al contenuto. Ma è proprio questa semplicità a rendere le truffe tramite codici QR così pericolose.

A differenza di un link tradizionale, un codice QR nasconde la propria destinazione. Negli attacchi di quishing, i criminali informatici sfruttano proprio la fiducia delle persone nei codici QR e il fatto che l’URL di destinazione non sia visibile prima della scansione: non puoi sapere dove ti porterà il codice finché non lo scansioni.

Ma qual è il vero obiettivo di questi cybercriminali? Circa il 90% degli attacchi di quishing¹ punta a rubare informazioni sensibili, come credenziali di accesso, numeri di carte di credito, dati di accesso ai conti bancari e informazioni personali che possono essere utilizzate per rubare l’identità delle vittime. Alcuni attacchi mirano anche a installare malware per continuare a portare avanti fraudolente nel tempo.

Conoscere il funzionamento degli attacchi di quishing ti aiuta a riconoscerli prima che possano causare danni. In genere, questi attacchi seguono una sequenza ben precisa:

Gli attacchi di quishing riescono spesso ad aggirare i tradizionali filtri di sicurezza della posta elettronica perché l’URL è incorporato in un’immagine anziché essere inserito come link cliccabile nel testo. La maggior parte delle soluzioni di sicurezza per le email cerca link sospetti e domini dannosi già noti, ma per impostazione predefinita non decodifica i codici QR presenti nelle immagini o negli allegati PDF.

Tra giugno e settembre 2024, Barracuda Networks ha individuato oltre mezzo milione di email di phishing contenenti codici QR nascosti in documenti PDF. Tra i marchi di cui è stata falsificata l’identità in questi attacchi, Microsoft rappresentava il 51% dei casi e Docusign il 31%².

Il phishing tramite codici QR può assumere molte forme, ma le tecniche di ingegneria sociale sono sempre simili: fanno leva sul senso di urgenza, sulla paura o sulla comodità. Vediamo come i criminali informatici sfruttano i codici QR per organizzare truffe sia attraverso i canali digitali (email, SMS e social media) sia nei luoghi fisici (parchimetri, tavoli dei ristoranti e avvisi di consegna).

I truffatori utilizzano i codici QR falsi sui parchimetri per rubare i dati di pagamento. Il metodo è semplice: stampano degli adesivi con codici QR fraudolenti e li applicano sopra quelli autentici presenti sui parchimetri o sui cartelli dei parcheggi a pagamento nelle zone più frequentate.

Ad esempio, ad Austin, in Texas, sono stati trovati degli adesivi con codici QR fraudolenti su oltre 24 parchimetri, mentre a San Antonio sono state segnalate truffe simili ai danni di chi paga il parcheggio³. Nel Regno Unito, la CFEU (Counter Fraud and Enforcement Unit) avverte che i truffatori stanno attaccando falsi codici QR sui cartelli e sui dispositivi per il pagamento della sosta, spacciandoli per quelli di servizi legittimi come PayByPhone, con l’obiettivo di rubare dati bancari e commettere furti d’identità⁴.

Anche l’IC3 (Internet Crime Complaint Center) dell’FBI, negli Stati Uniti, ha registrato un aumento delle truffe in cui i criminali utilizzano codici QR per indirizzare le vittime verso sportelli automatici per criptovalute, dove possono effettuare rapidamente i pagamenti richiesti nell’ambito di truffe sentimentali, false vincite alla lotteria e truffe basate sulla falsificazione dell’identità⁵.

Ecco i consigli di Miguel Fornes, Information Security Manager di Surfshark:

I truffatori utilizzano spesso falsi avvisi di consegna con codici QR che rimandano a siti di phishing. Possono essere cartellini lasciati sulla porta, volantini o email che segnalano una “mancata consegna” da parte di un corriere conosciuto. Scansionando il codice QR, la vittima viene indirizzata a un falso portale che richiede il pagamento di una piccola “spesa di riconsegna” e l’inserimento di tutti i dati della carta.

L’FBI avverte inoltre che i criminali informatici hanno iniziato a spedire pacchi non richiesti, privi di informazioni sul mittente, che contengono codici QR. Si tratta di una variante del brushing, in cui i codici QR vengono utilizzati per indurre i destinatari a fornire dati personali e finanziari o a scaricare malware senza rendersene conto⁶.

Se ricevi un avviso di questo tipo, invece di scansionare il codice QR, accedi direttamente al sito o all’app ufficiale del corriere.

I criminali informatici inviano email di quishing agli indirizzi di lavoro, spesso sotto forma di false fatture, comunicazioni sulle buste paga o conferme di pagamento ai fornitori. Questi messaggi contengono un codice QR che invita a “visualizzare il documento protetto”. In realtà, il codice rimanda a false pagine di accesso di Microsoft o Google, create per rubare le credenziali degli utenti. Poiché il link è nascosto all’interno di un’immagine, queste email riescono a superare molti filtri di sicurezza della posta elettronica.

I truffatori possono sostituire i codici QR autentici dei menu dei ristoranti con codici falsi, applicando piccoli adesivi sopra quelli presenti sui tavoli o sui cartelli. Se scansioni uno di questi codici, potresti finire su un sito falso che imita il menu del ristorante.

Se dopo aver scansionato il codice QR di un menu ti vengono chiesti dati personali, credenziali di accesso o informazioni di pagamento, chiudi immediatamente la pagina.

I criminali informatici possono utilizzare i codici QR per creare falsi avvisi di sicurezza degli account e rubare dati personali. Queste email di phishing parlano di una sospensione imminente dell’account o presunte attività sospette e invitano a “verificare l’account scansionando questo codice QR”. Il codice, però, rimanda a una pagina di accesso contraffatta.

In genere, i fornitori di servizi affidabili non chiedono di utilizzare un codice QR per risolvere problemi relativi agli account. In questi casi, accedi direttamente al sito o all’app ufficiale, digitando un indirizzo web che conosci e di cui ti fidi.

Le truffe di quishing possono colpire chiunque utilizzi i codici QR, ma alcune categorie di persone e organizzazioni sono particolarmente a rischio:

Per riconoscere un attacco di quishing, devi prestare attenzione a diversi segnali: messaggi urgenti, mittenti sconosciuti, domini sospetti e comportamenti anomali subito dopo la scansione del codice QR.

Diffida dei codici QR che ricevi senza preavviso tramite email o app di messaggistica, oppure che trovi su volantini lasciati sulla tua auto o nella cassetta della posta. Un possibile segnale di quishing è un messaggio che ti invita a scansionare immediatamente il codice. Le organizzazioni affidabili raramente utilizzano i codici QR come unico modo per risolvere un problema o accedere ai propri servizi.

Evita di scansionare codici QR inviati da mittenti sconosciuti e, in caso di dubbi, contatta il presunto mittente attraverso un canale ufficiale.

Alcuni attacchi prevedono la manomissione dei codici QR, ad esempio applicando adesivi con codici falsi sopra quelli autentici. Prima di scansionare un codice QR su un cartello pubblico o sul tavolo di un locale, controlla che non ci siano:

Prima di scansionare un codice QR, verifica che non sia stato manomesso. Nei luoghi pubblici e negli esercizi commerciali, i codici QR ufficiali di solito hanno la stessa grafica degli altri cartelli e sono accompagnati da istruzioni chiare.

Dopo aver scansionato un codice QR, controlla sempre l’anteprima dell’URL mostrata dallo smartphone prima di toccare Apri. Non ti fidare dei codici QR accompagnati da messaggi che trasmettono un senso di urgenza o che rimandano a pagine con questi segnali sospetti:

Se il browser o il software di sicurezza ti mostra un avviso, oppure se noti qualcosa di sospetto sul sito, chiudilo immediatamente.

Non serve rinunciare del tutto ai codici QR, basta considerarli come link sconosciuti finché non ne hai verificato l’affidabilità. Per prevenire la maggior parte degli attacchi di quishing, è sufficiente adottare alcune precauzioni e utilizzare gli strumenti di sicurezza di base:

È importante agire rapidamente per limitare i danni. La prima cosa da fare è interrompere subito qualsiasi interazione con il sito sospetto. I passi successivi, invece, dipendono da cosa hai fatto dopo aver scansionato il codice QR.

Visitare un sito di phishing senza interagire è meno pericoloso, ma è comunque importante prestare attenzione.

Dopo aver scansionato un codice QR, potresti essere caduto nella trappola dei criminali informatici e aver fornito informazioni personali. In questo caso, è importante intervenire subito per limitare i danni.

Gli attacchi di quishing, phishing, smishing (phishing tramite SMS) e vishing (phishing telefonico) hanno tutti lo stesso obiettivo: ingannare le vittime per rubare dati o denaro. In queste truffe, i criminali informatici ricorrono spesso al crime spoofing, cioè si spacciano per aziende affidabili oppure falsificano numeri di telefono e indirizzi email per rendere più credibili i propri messaggi. La differenza principale sta nei canali utilizzati:

I codici QR fanno ormai parte della nostra vita quotidiana: li utilizziamo per pagare, acquistare biglietti, leggere i menu e controllare informazioni. Continueremo a usarli e, di conseguenza, anche i criminali informatici continueranno a sfruttarli per le loro truffe. La buona notizia è che non devi rinunciare ai codici QR per proteggerti. L’importante è considerarli sempre come dei link potenzialmente non affidabili, non agire d’impulso, verificare da dove provengono prima di scansionarli e utilizzare gli strumenti e le precauzioni di sicurezza che abbiamo visto in questo articolo.