Negli ultimi anni i codici QR sono diventati parte integrante della nostra quotidianità: li usiamo per consultare un menu al ristorante, pagare un parcheggio o accedere rapidamente a un servizio online. Tuttavia, questa immensa comodità non è sfuggita ai cybercriminali. Sta prendendo sempre più piede una nuova e insidiosa variante del phishing tradizionale: il Quishing (o QR Phishing).

Cos’è il Quishing?

Il termine Quishing nasce dall’unione di QR Code e Phishing. Si tratta di una tecnica di ingegneria sociale in cui l’aggressore non inserisce un classico link testuale all’interno di un’email o di un messaggio, ma utilizza un codice QR bidimensionale malevolo.

Quando la vittima inquadra il codice con la fotocamera dello smartphone, viene reindirizzata a una pagina web contraffatta, ideata per rubare credenziali d’accesso, dati bancari o per veicolare malware sul dispositivo mobile.

Come funziona l’attacco: dalla mail al furto di dati

L’anatomia di un attacco di Quishing si articola in quattro fasi principali:

  1. L’Esca (Ingegneria Sociale): L’utente riceve una comunicazione (spesso un’email) apparentemente autorevole, proveniente da una banca, un corriere, l’INPS o persino dal dipartimento IT aziendale. Il messaggio crea un senso di urgenza: “Aggiorna i dati di sicurezza”, “Sblocca la spedizione” oppure “Autenticazione MFA richiesta”.
  2. L’Inganno Visivo: Anziché un pulsante o un link tipo https://..., l’email contiene un’immagine con un codice QR e l’istruzione di scansionarlo con lo smartphone per completare l’operazione.
  3. La Trappola Mobile: Una volta scansionato il codice, il browser dello smartphone apre un sito di phishing del tutto identico a quello ufficiale.
  4. L’Esfiltrazione: L’utente inserisce le proprie credenziali o i codici OTP, fornendoli direttamente all’aggressore.

Perché il Quishing funziona così bene?

Il successo di questa tecnica dipende da due fattori principali: i limiti dei sistemi di sicurezza e il comportamento dell’utente.

1. L’aggiramento dei filtri antispam aziendali

I tradizionali Gateway di Sicurezza Email (SEG) e i filtri anti-phishing sono ottimizzati per analizzare il testo ed esaminare i link trasparenti inseriti nei messaggi. Quando un link è nascosto all’interno di un’immagine come un QR code, molti sistemi, soprattutto in passato, non riuscivano a decodificare l’immagine in tempo reale, lasciando passare l’email direttamente nella casella di posta dell’utente. Oggi diversi prodotti analizzano anche i QR code, ma gli attaccanti continuano a inventare modi per eludere i controlli.

2. Lo “Switch” dal PC allo Smartphone

Spesso l’email malevola viene letta sul PC di lavoro. Per scansionare il QR code, l’utente è costretto a usare il proprio smartphone personale. Questo porta a due vulnerabilità:

  • I dispositivi mobili hanno spesso controlli di sicurezza e antivirus meno stringenti rispetto alla rete aziendale.
  • Sullo schermo ridotto di uno smartphone è molto più difficile notare anomalie nell’URL della barra degli indirizzi prima di procedere.

Le varianti dell’attacco

Il Quishing non si limita al classico QR code incollato in un’email. Tra le varianti più diffuse:

  • QR code in allegati: il codice viene inserito in un PDF o in un’immagine allegata, così non compare nel corpo del messaggio.
  • Reindirizzamenti a catena: il QR punta a un link abbreviato o a più passaggi intermedi, che nascondono la destinazione finale e rendono più difficile controllarla.
  • QR costruiti con il testo: alcuni codici sono disegnati con caratteri di testo invece che con un’immagine, per sfuggire ai sistemi che cercano immagini sospette.

Il Quishing nel mondo reale (attacchi fisici)

A differenza del phishing tradizionale, il Quishing si estende anche nel mondo fisico. Gli attaccanti sovrappongono adesivi con QR code malevoli su:

  • Parchimetri e colonnine di sosta.
  • Colonnine di ricarica per auto elettriche.
  • Volantini e manifesti pubblicitari in luoghi pubblici.

Il fenomeno è reale: nel 2022 le autorità di diverse città statunitensi hanno avvisato i cittadini della presenza di adesivi falsi sui parchimetri, che portavano a siti di pagamento fraudolenti.

Il rischio per l’autenticazione a due fattori

Inserire un codice OTP su una pagina falsa può non bastare a proteggerti, nemmeno se l’account ha l’autenticazione a due fattori attiva. I siti di phishing più evoluti possono inoltrare in tempo reale al servizio vero le credenziali e il codice che digiti, e ottenere subito l’accesso al tuo account. Per questo sono più sicuri i metodi legati al sito autentico, come le passkey o le chiavi di sicurezza FIDO2, che non funzionano su un dominio contraffatto.

Come difendersi dal Quishing

Controllare e prevenire questo tipo di minaccia richiede un mix di attenzione personale e strumenti tecnici:

  • Verificare sempre l’URL prima di cliccare: La maggior parte degli smartphone mostra un’anteprima del link prima di aprire il browser. Controllare attentamente il dominio prima di confermare l’apertura.
  • Non inserire mai credenziali da un QR Code: Se un’email richiede di scansionare un codice per accedere a un account, è sempre più sicuro navigare sul sito ufficiale aprendo direttamente il browser dal PC o dall’app ufficiale.
  • Diffidare dall’urgenza: Nessun ente serio richiede la risoluzione immediata di problemi critici esclusivamente tramite scansione di un QR code.
  • Controllare i QR code fisici: Prima di scansionare un codice su un parchimetro o una colonnina, verifica che non sia un adesivo sovrapposto a quello originale. Quando possibile, usa l’app ufficiale del servizio invece di scansionare il codice sul posto.
  • Abilitare la scansione QR sicura: Utilizzare app di scansione o impostazioni del sistema operativo che controllano la reputazione del link prima di reindirizzare l’utente.

Cosa fare se hai già scansionato un QR sospetto

Se hai inserito dati dopo aver scansionato un codice dubbio, agisci subito:

  1. Cambia la password dell’account coinvolto, e di tutti gli altri servizi in cui la usi.
  2. Controlla o aggiorna l’autenticazione a due fattori, preferendo passkey o chiavi di sicurezza dove possibile.
  3. Se hai inserito dati di pagamento, avvisa subito la banca o l’emittente della carta per bloccarla.
  4. Segnala l’accaduto alla Polizia Postale, che mette a disposizione il portale del Commissariato di P.S. Online.

Cosa possono fare le aziende

Per le organizzazioni la difesa è più efficace se combina persone e tecnologia:

  • Formazione dei dipendenti: spiegare che un QR code in un’email va trattato come un link sospetto.
  • Simulazioni di phishing: includere campagne di test con QR code, per misurare quanto il personale è esposto.
  • Gateway email aggiornati: scegliere soluzioni che leggono e analizzano il contenuto dei QR code presenti in immagini e allegati.
  • Protezione dei dispositivi mobili: estendere ai dispositivi usati dai dipendenti, anche personali, controlli sulla navigazione e sulla reputazione dei link.

In conclusione

Il Quishing sfrutta un gesto ormai automatico, inquadrare un codice con lo smartphone, e lo trasforma in un punto d’ingresso per il furto di dati. La regola più semplice resta valida: un QR code va trattato come un link di cui non conosci la destinazione, quindi prima di fidarti controlla da dove arriva e dove porta.