05 Ott Quishing is the new phishing: come evitare la truffa del codice QR

Anche la truffa del codice QR, come tutte le frodi informatiche, si previene con la massima cautela e la protezione dei propri dati sensibili. Ecco i consigli di MyBank, metodo di pagamento elettronico basato su un bonifico immediato dall’online banking della propria banca, che da sempre mette la protezione dell’identità digitale degli utenti al centro della sua soluzione.

• Ecco il quishing, una tipologia di phishing sempre più diffusa
• I buoni motivi per essere particolarmente prudente con i codici QR
• I consigli da seguire prima di scansionare un codice QR

Cos’è il quishing?

Il quishing è una forma di phishing che ha visto una rapida espansione nel corso degli ultimi mesi.

Con un nome che combina i termini “codice QR” e “phishing”, il quishing rappresenta una crescente minaccia cyber che si serve dei codici QR per indurre le persone a rivelare informazioni sensibili.

Nascita ed evoluzione dei codici QR

Ideati in Giappone nel 1994 da Masahiro Hara, ingegnere della Denso, per ottimizzare la gestione dell’inventario, i codici QR – abbreviazione di quick response – si sono progressivamente diffusi in tutto il mondo. [1]

Il vero boom è arrivato però con la pandemia e la diffusione del contactless.

Al giorno d’oggi i codici QR sono una costante quotidiana: li troviamo dappertutto, dai volantini ai cartelloni pubblicitari, dai biglietti aerei a quelli dei concerti, dai bar ai ristoranti dove, sempre più spesso, il menù è disponibile soltanto tramite questo sistema.

La presenza dei codici QR non si limita al mondo fisico: vengono utilizzati in diversi altri canali, come i social media, gli SMS e le e-mail. In base a un recente studio, circa l’86% degli utenti smartphone ha scansionato un codice QR almeno una volta e il 36% ne scannerizza uno ogni settimana. [2] 

I rischi legati ai codici QR 

I codici QR sono ovunque e possono nascondere seri pericoli. I cybercriminali possono:

• Inserire nel codice QR URL malevole per impossessarsi dei dati del dispositivo dell’utente, una volta scansionate;
• Inseriscono malware nei codici QR che reindirizzano la vittima a una pagina web fraudolenta dove viene chiesto l’inserimento di informazioni sensibili;
• Aggiungere contatti sconosciuti/sospetti all’elenco dei contatti presenti del cellulare della vittima;
• Collegare il dispositivo della vittima a una rete controllata dai cybercriminali;
• Avviare telefonate, redigere e-mail e inviare SMS in modalità automatica tramite un malware inserito nel codice QR;
• Rilevare la posizione precisa del dispositivo;
• Avviare automaticamente pagamenti fraudolenti.

Consigli per proteggersi dal quishing

Davanti a un codice QR, è buona prassi seguire queste indicazioni:

• Evitare di scansionare codici QR provenienti da fonti sospette o sconosciute;
• Non scansionare codici QR ricevuti via e-mail;
• Utilizzare un software di scansione del codice QR per visualizzare l’URL di destinazione prima di cliccarci.

In pratica, per evitare di cadere nella trappola del quishing, valgono sempre gli stessi consigli forniti per il phishing, lo smishing e il vishing. Gli imperativi rimangono gli stessi: cautela e attenzione soprattutto prima di cliccare su un link ricevuto e massima prudenza di fronte alla richiesta di dati personali.

Non ultimo, è d’obbligo tenere sempre presente che la tua banca, così come MyBank, non ti invierà mai la richiesta di informazioni sensibili -come le credenziali del tuo conto online, il tuo codice fiscale o il tuo indirizzo- tramite un codice QR, un’e-mail o un messaggio di testo.

[1] QR Codes: A Secret History | The Payments Association

[2] Be careful when you scan QR codes | Cybernews