Truffe con i QR code (quishing): come riconoscere un codice falso

Un QR code nasconde la propria destinazione dietro un mosaico di quadrati: è esattamente ciò che serve a chi attacca. Il phishing tramite QR code ha perfino un nome: quishing. Qui trovi le truffe che accadono davvero, come controllare un codice prima di fidarti e cosa deve fare un’azienda per proteggere i propri codici stampati.

Che cos’è il quishing

È il solito phishing con un altro veicolo. Invece di un link cliccabile ti viene mostrato un QR code: su un adesivo, una lettera, una fattura o dentro un’email. Scansioni, arrivi su una copia convincente di una pagina di accesso o di pagamento e consegni credenziali o dati della carta.

Funziona per tre motivi: la destinazione non è leggibile a occhio; si scansiona col telefono, dove la barra degli indirizzi è corta e facile da fraintendere; e un codice inserito in un’email sfugge spesso ai filtri che analizzano solo i link testuali.

Le truffe che accadono davvero

• Adesivo sopra il codice vero. Su un parcometro, una colonnina di ricarica o un manifesto: la vittima paga uno sconosciuto.
• Falsa fattura. Una lettera o un PDF invita a saldare scansionando. Le coordinate bancarie sono del truffatore.
• «Verifica il tuo account». Un’email annuncia il blocco di casella, banca o consegna e chiede una scansione. La pagina raccoglie password e codice a due fattori.
• Avviso di mancata consegna. Un cartoncino nella cassetta propone una nuova consegna con una piccola spesa che cattura il numero di carta.
• Wi-Fi ostile. Un codice che ti collega a una rete controllata dall’attaccante.
• Regalo o sondaggio. Un codice che promette un premio e porta a un modulo di raccolta dati o all’installazione di un’app.

Come controllare un codice

1. Leggi l’anteprima. Le fotocamere recenti mostrano l’indirizzo prima di aprirlo. Leggi tutto il dominio: banca-sicura.example.com non è example.com.
2. Guarda l’adesivo. Un codice incollato sopra un altro, storto o su una superficie altrimenti vuota merita diffidenza. Sull’arredo urbano, prova con l’unghia.
3. Non inserire mai credenziali in una pagina raggiunta con una scansione. Apri il sito da solo: digita il dominio, usa un preferito o l’app ufficiale.
4. Considera ostile ogni richiesta di pagamento. Parcheggi, utenze e servizi pubblici non hanno bisogno di un adesivo per incassare.
5. Ignora l’urgenza. «Entro 24 ore o chiudiamo l’account» è una leva psicologica, non una scadenza.
6. Attenzione all’invito a installare. Una pagina che chiede subito un profilo, un certificato o un APK non è una pagina di login.

Cosa deve fare un’azienda

Se stampi QR code, la fiducia dei clienti fa parte della tua infrastruttura. In concreto:

• Stampa un dominio riconoscibile. Se il codice risolve al tuo dominio breve, chiunque può verificarlo nell’anteprima: la barra degli indirizzi diventa un segnale.
• Rendi visibile la manomissione. Plastifica, usa etichette che si rovinano se staccate, integra il codice nella grafica invece di applicarlo come adesivo e controlla regolarmente i luoghi più frequentati.
• Usa codici dinamici. Se un codice viene copiato o abusato, lo reindirizzi o lo disattivi in pochi secondi, senza ritirare il materiale stampato.
• Osserva le statistiche. Un picco improvviso, una distribuzione inusuale di dispositivi o browser, o traffico molto dopo la fine della campagna vanno approfonditi.
• Proteggi ciò che è sensibile. Per documenti interni o campagne limitate, password, data di scadenza o limite di scansioni evitano che un codice trafugato resti utile per sempre.
• Dichiara cosa accadrà. «Questo codice apre il nostro menù su example.com: non chiediamo mai pagamenti via QR» toglie all’attaccante il pretesto.

Con Enqre ogni codice è dinamico: puoi reindirizzarlo o disattivarlo subito, le statistiche mostrano le anomalie e password, scadenza e limite di scansioni sono disponibili nei piani a pagamento.

Domande frequenti

Un QR code può contenere un virus?

Da solo no. Un QR code è solo testo codificato, di solito un link. Il rischio è tutto nella destinazione e in ciò che fai lì: la domanda sulla sicurezza riguarda sempre la pagina, non il disegno.

È sicuro scansionare il menù di un ristorante?

In genere sì, con gli stessi controlli: leggi il dominio nell’anteprima e insospettisciti se un codice del menù chiede accesso o pagamento prima di mostrarti un piatto.

Come controllo un link senza aprirlo?

Usa l’anteprima della fotocamera e leggi il dominio. Per maggiore sicurezza digita il dominio nel browser invece di toccare il link, oppure verificalo con un servizio affidabile di reputazione URL.

Ho già scansionato un codice malevolo: che faccio?

Se hai inserito una password, cambiala subito sul sito vero e revoca le sessioni attive. Se hai dato i dati della carta, contatta la banca. Se hai installato qualcosa, rimuovilo e fai controllare il dispositivo.