Quishing: la nuova truffa con i QR Code

Negli ultimi anni i QR Code sono diventati parte integrante della nostra vita quotidiana. Dai menu digitali nei ristoranti ai biglietti per concerti ed eventi, fino alle campagne pubblicitarie, questi codici bidimensionali hanno semplificato l’accesso a informazioni e servizi. Tuttavia, come spesso accade nel mondo digitale, ogni innovazione porta con sé nuove minacce. Una di queste è il quishing, una forma di truffa che sfrutta i QR Code per ingannare gli utenti e rubare dati sensibili.

Cos’è il quishing?

Il termine deriva dalla fusione di “QR code” e “phishing”, e indica una truffa informatica che utilizza codici QR manipolati per indirizzare le vittime verso siti web malevoli. A differenza del phishing tradizionale, dove il pericolo arriva tramite link sospetti ricevuti via email o SMS, nel quishing il link è “nascosto” dentro il QR Code. Questo lo rende più subdolo, perché l’utente non può leggere l’URL prima di scannerizzarlo.

Come funziona l’attacco

Il meccanismo è semplice ma molto efficace:

1. L’attaccante crea un QR Code che, una volta scansionato, porta a un sito web controllato dal truffatore.
2. Il sito appare legittimo, magari imitando l’interfaccia di una banca, di un servizio di pagamento o di un social network.
3. La vittima inserisce le proprie credenziali, convinta di trovarsi su una pagina autentica.
4. I dati vengono così rubati e usati per frodi finanziarie o per rivendere le informazioni sul dark web.

In alcuni casi, il QR Code porta direttamente al download di malware sul dispositivo, con conseguenze ancora più gravi.

Perché è così pericoloso

I QR Code sono considerati strumenti affidabili e vengono utilizzati in contesti dove la fiducia è alta, come ristoranti, enti pubblici o aziende. Inoltre:

• Non si vede l’URL prima di scansionarlo. A differenza di un link in un’email, un QR Code non mostra l’indirizzo di destinazione.
• Gli utenti abbassano la guardia: un codice apposto su un volantino, un adesivo o un cartellone sembra innocuo.
• Diffusione capillare: la pandemia ha accelerato l’uso dei QR Code per ridurre i contatti fisici, rendendoli familiari a milioni di persone.

Questi fattori rendono il quishing particolarmente insidioso.

Esempi concreti

Negli ultimi mesi sono stati segnalati diversi episodi:

• QR Code falsi incollati sopra quelli autentici nei parcheggi cittadini, con l’obiettivo di rubare i dati delle carte di credito.
• Codici presenti in email aziendali che simulavano comunicazioni interne, ma in realtà conducevano a pagine di login fasulle.
• Adesivi con QR Code piazzati vicino a bancomat o sportelli automatici per indurre le vittime a scaricare app dannose.

Come difendersi dal quishing

Per proteggersi è fondamentale adottare alcune buone pratiche:

1. Verificare la fonte: se il QR Code arriva via email o SMS da mittenti sconosciuti, è meglio evitarlo.
2. Controllare l’URL: dopo la scansione, prima di cliccare, controllare attentamente l’indirizzo che appare sullo schermo. Diffidare di URL strani, troppo lunghi o con errori ortografici.
3. Utilizzare app di sicurezza: alcune applicazioni di lettura QR includono filtri di sicurezza che analizzano i link prima di aprirli.
4. Aggiornare i dispositivi: mantenere sempre aggiornati smartphone e antivirus riduce il rischio di infezioni da malware.
5. Non inserire dati sensibili: mai digitare credenziali o numeri di carte di credito su siti raggiunti da QR Code sospetti.

Il ruolo delle aziende

Anche le imprese devono fare la loro parte. Chi utilizza QR Code nelle proprie campagne di marketing o nei servizi ai clienti dovrebbe:

• Stampare i codici in formati sicuri e difficili da manomettere.
• Aggiungere un URL leggibile accanto al QR, in modo che l’utente possa verificare manualmente.
• Informare i clienti sui rischi e sulle modalità per distinguere i codici autentici da quelli falsi.

Il quishing è

Il quishing rappresenta l’evoluzione del phishing in un’epoca in cui i QR Code sono onnipresenti. È una minaccia concreta che sfrutta l’ingenuità e la fiducia degli utenti nei confronti di uno strumento apparentemente innocuo. Conoscere il fenomeno e adottare misure preventive è l’unico modo per ridurre i rischi. La regola d’oro rimane la stessa del web tradizionale: diffidare sempre e mantenere un approccio critico davanti a ciò che ci viene proposto, anche se appare familiare e comodo come un QR Code.