Quishing: cos’è e come proteggersi dalle truffe via QR code

Scopri cos’è il quishing, come funziona e quali strategie adottare per proteggersi dalle truffe informatiche veicolate tramite codici QR.

Negli ultimi anni, i codici QR sono entrati nella nostra quotidianità con una rapidità sorprendente. Li usiamo per consultare il menu al ristorante, per pagare nei negozi fisici, per accedere a siti web o scaricare app. Sono strumenti pratici, versatili e apprezzati da aziende e consumatori. Ma come spesso accade nel mondo digitale, anche questa comodità nasconde rischi non trascurabili.

Un esempio è quello del Super Bowl 2022, quando la piattaforma di criptovalute Coinbase lanciò uno spot pubblicitario minimalista ma d’impatto: un semplice codice QR che rimbalzava sullo schermo. Chi lo inquadrava con il proprio smartphone veniva indirizzato a scaricare l’app ufficiale e riceveva 15 dollari in Bitcoin. La campagna fu un successo virale, con un incremento delle installazioni del 309%. Tuttavia, quell’evento accese anche un campanello d’allarme tra gli esperti di sicurezza informatica.

1. Come funziona un codice QR
2. Come funziona il quishing
3. Come riconoscere un attacco di quishing
4. Come possono reagire le aziende

Questo perché sempre più utenti scansionano codici QR sconosciuti senza pensare alle conseguenze. Proprio nelle settimane precedenti al Super Bowl, erano già emerse notizie preoccupanti: truffe informatiche legate ai QR code stavano prendendo piede nel settore delle criptovalute. In molti casi, i criminali informatici creavano codici fasulli da apporre su sportelli ATM o da inviare tramite email e volantini, inducendo le vittime a trasferire fondi dai propri conti pensionistici o di investimento verso indirizzi malevoli.

Tale tecnica ha oggi un nome preciso: quishing. È una forma di attacco sempre più diffusa, proprio perché sfrutta una tecnologia ormai familiare a tutti. Il problema è che dietro un semplice codice grafico può celarsi qualsiasi link: un sito truffaldino, un malware o un modulo di accesso fasullo per rubare credenziali. Per comprendere davvero cosa rende pericoloso il quishing, è necessario prima analizzare il funzionamento stesso dei QR code e capire come possono essere manipolati dai cybercriminali.

Come funziona un codice QR

Un codice QR, acronimo di “quick response”, è un particolare tipo di codice a barre bidimensionale, composto da una griglia di moduli neri su sfondo bianco. Ogni codice contiene informazioni digitali che possono essere lette rapidamente da una fotocamera o da un’app compatibile. Una volta scansionato, il QR code attiva automaticamente un’azione: in genere apre una pagina web, ma può anche avviare una chiamata, generare un messaggio precompilato, collegare a una rete Wi-Fi o persino completare un pagamento digitale.

La semplicità con cui si generano i codici QR e i costi quasi nulli legati al loro utilizzo ne hanno favorito la diffusione in ambito commerciale, bancario, sanitario e promozionale. Un QR code legittimo può contenere il link a un sito aziendale, il biglietto digitale per un evento, le istruzioni per un pagamento o un modulo di registrazione. Tuttavia, è proprio questa accessibilità ad aver reso i QR code un bersaglio ideale per i cybercriminali.

Come funziona il quishing

Il quishing sfrutta la natura versatile dei QR code, che possono contenere link, file o accessi a portali di pagamento. Basta poco per generare un codice che rimanda a un sito malevolo o a un file infetto. Poiché un QR code è solo un’immagine, può essere facilmente inserito in un’email e bypassare i filtri di sicurezza tradizionali, aggirando così molte difese aziendali.

In genere, l’attacco parte da un codice QR che conduce l’utente a una pagina di login falsa, spesso identica a quella di un servizio noto. Una volta inserite le credenziali, queste finiscono direttamente nelle mani degli aggressori. In altri casi, la scansione attiva il download automatico di un malware. I codici possono essere inviati via email, allegati in PDF o stampati su adesivi e volantini.

Un esempio avvenuto in tempi recenti è quello di una campagna mirata contro aziende legate a Microsoft. I truffatori inviavano email da account compromessi, fingendo l’arrivo di un messaggio vocale da ascoltare tramite QR code. Una volta scansionato, il codice reindirizzava a un falso portale Microsoft. Lo stesso trucco è stato usato anche nel settore bancario, con finti QR code per aggiornamenti sulla privacy o nuove misure di sicurezza.

Come riconoscere un attacco di quishing

Richieste insolite o fuori contesto

Il primo segnale d’allarme è una richiesta fuori contesto, soprattutto se accompagnata da urgenza o pressioni. Aziende serie non chiedono mai di compiere azioni importanti, come inserire credenziali o effettuare pagamenti, esclusivamente tramite un QR code. Se un messaggio invita a scansionare un codice senza fornire spiegazioni dettagliate, è bene fermarsi e riflettere.

Allegati o link sospetti

Anche il formato della comunicazione può offrire indizi. Ricevere un QR code via email, in un allegato PDF o su un volantino sconosciuto è insolito, soprattutto se non viene chiarito il motivo. I messaggi legittimi spiegano perché il codice è presente e offrono alternative, come un link cliccabile. Dettagli come errori grammaticali, formattazioni strane o QR code mal leggibili rafforzano i sospetti.

Pressioni e urgenze sospette

Un’altra tecnica usata spesso nei tentativi di quishing è la pressione psicologica. Se un messaggio ti mette fretta o minaccia conseguenze negative se non agisci subito, è molto probabile che sia una truffa. Le organizzazioni affidabili non mettono mai l’utente sotto stress per ottenere una risposta immediata: forniscono istruzioni chiare e tempi congrui per agire in sicurezza.

URL strani o poco familiari

Dopo aver scansionato un codice QR, è fondamentale controllare con attenzione l’URL visualizzato. Anche un link apparentemente legittimo può contenere variazioni minime, ma ingannevoli. Domini strani, simboli fuori posto o errori di ortografia nel sito devono far scattare l’allerta. Quando hai dubbi, confronta sempre l’indirizzo con il dominio ufficiale prima di procedere.

Come possono reagire le aziende

Nel panorama attuale della cybersecurity, il quishing rappresenta una minaccia in rapida ascesa. Il motivo è semplice: sfrutta l’automatismo con cui molti utenti scansionano i QR code, spesso senza chiedersi dove li stiano portando. Questo comportamento, apparentemente innocuo, apre le porte a truffe sempre più sofisticate.

Il problema è che i QR code vengono ancora percepiti come strumenti neutri, laddove possono contenere link pericolosi o attivare azioni dannose in pochi secondi. Se da un lato gli utenti finali sono spesso impreparati, dall’altro molte aziende sottovalutano l’impatto che un singolo errore umano può avere sulla sicurezza dei propri sistemi.

Per le organizzazioni, la soluzione non può limitarsi a tecnologie di filtro o blocco automatico. Serve un investimento concreto nella formazione del personale, con programmi di sensibilizzazione mirati a far riconoscere i segnali tipici di un attacco quishing. Prevenire significa soprattutto educare: solo così si può trasformare un potenziale anello debole in una prima linea di difesa.