Che cos’è il “quishing”? Come funziona il phishing tramite codici QR e come prevenirlo

Il "quishing" è una forma di phishing che utilizza i codici QR. Anziché inserire un link sospetto in un'e-mail, l'autore dell'attacco nasconde un sito web dannoso dietro un codice QR, su un manifesto, un parchimetro o in un allegato e-mail. Chiunque scansiona il codice viene reindirizzato a una pagina falsa che raccoglie credenziali di accesso o dati di pagamento, oppure installa malware.

Il trucco funziona perché un codice QR nasconde la destinazione. Mentre in un’e-mail potresti comunque passare il mouse su un link, un codice QR non ti dà alcun indizio su dove finirai. In questo articolo spieghiamo come funziona un attacco di “quishing”, perché questa forma di phishing è in aumento e come proteggere la tua organizzazione.

Significato di “quishing”: cosa indica questo termine?

Il termine “quishing” è una contrazione di “QR” e “phishing”. L’obiettivo è lo stesso di qualsiasi attacco di phishing: indurre qualcuno a fornire le proprie credenziali, ad approvare un pagamento o a scaricare malware. L’unica differenza sta nel metodo utilizzato. L’autore dell’attacco non utilizza un link cliccabile, ma un codice QR che rimanda alla pagina dannosa.

Quel pulsante è ben più di un semplice espediente. Dall’inizio della pandemia, scansioniamo i codici QR senza nemmeno pensarci: per i menu, i pagamenti, il parcheggio e l’accesso ai servizi. Gli hacker sfruttano proprio questo riflesso acquisito: la scansione sembra un’operazione di routine, non rischiosa.

Come funziona il "quishing"?

Un tipico attacco di quishing si svolge in quattro fasi:

• L'autore dell'attacco crea un codice QR che rimanda a un sito web fasullo, spesso una copia di una pagina di accesso a Microsoft 365, a una banca o a un fornitore di servizi di pagamento.
• Il codice viene diffuso tramite e-mail, lettera, volantino o sotto forma di adesivo applicato sopra un codice QR autentico in un luogo pubblico.
• La vittima scansiona il codice con il cellulare. Questa è la mossa cruciale: l’attacco si sposta da un computer portatile aziendale, dotato di filtri e software di sicurezza, a uno smartphone privato, che spesso è molto meno protetto.
• La pagina contraffatta fa il suo lavoro. La vittima effettua l'accesso sulla pagina contraffatta e l'autore dell'attacco intercetta le credenziali, che a volte includono anche la sessione MFA.

Negli ambienti aziendali, la variante più comune è un’e-mail che sembra provenire dal reparto IT o da Microsoft: le impostazioni di autenticazione a più fattori (MFA) sarebbero in scadenza e occorre scansionare il codice per effettuare una nuova autenticazione. L’e-mail non contiene alcun link cliccabile, ed è proprio questo che la fa sembrare innocua.

Perché il phishing tramite codici QR è così efficace

Quishing risolve due problemi che gli hacker incontrano con le classiche e-mail di phishing.

Innanzitutto: i filtri delle e-mail leggono il testo e controllano i link, ma un codice QR è un'immagine. L'URL dannoso è invisibile, non solo al destinatario ma anche a gran parte degli strumenti di sicurezza. I messaggi che verrebbero bloccati immediatamente se contenessero un link normale passano indenni grazie al codice QR.

Secondo: la scansione reindirizza la vittima sul proprio telefono. Su uno schermo di piccole dimensioni è più difficile controllare la barra degli indirizzi, l’URL è spesso parzialmente nascosto e le misure di protezione aziendali, come il filtraggio web, sono spesso assenti sui dispositivi personali. L’autore dell’attacco allontana la vittima dall’ambiente protetto proprio nel momento in cui ha inizio l’attacco.

Il "quishing" nella pratica: un codice QR falso può trovarsi ovunque

Il punto di forza di questa forma di frode è che un codice QR fraudolento può trovarsi ovunque ne possa esserci uno normale: su un distributore automatico, nella cassetta della posta, nella posta in arrivo o sulla parete dell’ufficio. Tutti questi scenari si sono effettivamente verificati:

• Il codice QR falso sul parchimetro. Nel novembre 2024 la polizia olandese e l’ANWB hanno lanciato un allarme riguardo ad adesivi con codici QR falsi apposti sui parchimetri, tra l’altro ad Amsterdam, Maastricht e Sittard-Geleen. Il codice rimandava a un’imitazione di una nota app per il parcheggio; la “tariffa di parcheggio” e i dati della carta di credito finivano direttamente nelle mani dei criminali.
• La lettera proveniente dalla “banca”. I truffatori inviano lettere su carta intestata della banca dall’aspetto convincente: la tua carta di debito dovrebbe essere sostituita e ti viene chiesto di scansionare il codice QR per effettuare la procedura. Veilig Bankieren mette in guardia da questa forma di truffa, proprio perché una lettera cartacea sembra più affidabile di un’e-mail.
• L'e-mail di MFA sul posto di lavoro. “Il tuo autenticatore scade oggi, scansiona questo codice per mantenere l'accesso.” L'urgenza, unita a una procedura familiare, rende questa variante la più efficace in ambito lavorativo.
• La fattura falsa o la richiesta di firma. Un documento che sembra provenire da DocuSign o da un fornitore, con un codice QR per “visualizzare” o “firmare” la fattura.
• Il manifesto o il volantino affisso in ufficio. Un annuncio riguardante una festa per il personale o una nuova politica sui parcheggi, con un codice QR che nessuno mette in discussione.

Quishing, phishing, smishing e vishing: qual è la differenza?

Tutte e quattro sono forme di ingegneria sociale; la differenza sta nel canale utilizzato. Il phishing classico avviene tramite e-mail con un link o un allegato. Lo smishing utilizza SMS e app di messaggistica, il vishing avviene per telefono, mentre il quishing utilizza i codici QR come via d’accesso. In pratica, gli aggressori combinano diversi canali: un’e-mail di quishing sul posto di lavoro, seguita da una chiamata dall’“helpdesk” in cui si chiede se l’accesso abbia funzionato.

Vuoi una panoramica completa di queste varianti e di altri metodi di attacco? Leggi il nostro articolo sui tipi più comuni di attacchi di phishing.

Come proteggere la propria organizzazione dal quishing

Fai del comportamento la prima linea di difesa. Proprio perché la tecnologia fatica a riconoscere i codici QR, il riconoscimento da parte dei dipendenti assume un’importanza maggiore rispetto al phishing tradizionale. La formazione sulla sicurezza insegna al tuo team il riflesso fondamentale in questo caso: trattare un codice QR inaspettato esattamente come un link inaspettato. Non scansionarlo, né controllare l’anteprima dell’URL dopo la scansione prima di cliccarci sopra.

Effettuate test con simulazioni realistiche. Una simulazione di phishing mostra chi cade in quali trappole e trasforma un clic errato in un’occasione di apprendimento anziché in un incidente. I test ricorrenti mantengono alta l’attenzione e dimostrano se il comportamento migliora effettivamente.

Colmate le lacune tecniche. Scegliete, ove possibile, un sistema di autenticazione a più fattori (MFA) resistente al phishing, proteggete i dispositivi mobili che accedono ai dati aziendali e semplificate la segnalazione: un dipendente che segnala un’e-mail sospetta contenente un codice QR entro un minuto protegge tutti i colleghi che hanno ricevuto lo stesso messaggio.

Domande frequenti

Cosa succede se si scansiona un codice QR di phishing?

La scansione di per sé non comporta solitamente alcun rischio. Il pericolo risiede in ciò che segue: la pagina a cui rimanda il codice. Finché non si effettua l'accesso, non si inseriscono dati né si scarica nulla, il danno è in genere limitato. Hai inserito le tue credenziali? Cambia immediatamente la password e avvisa il reparto IT.

Come si riconosce un codice QR falso?

Prima di scansionare, osserva il contesto: un adesivo incollato sopra un altro codice, una richiesta di pagamento in un contesto inaspettato o un’e-mail che insiste affinché tu esegua la scansione con il telefono sono tutti segnali di allarme. Dopo aver scansionato, controlla sempre l’URL visualizzato dalla fotocamera prima di aprire la pagina.

Un filtro antispam impedisce che le e-mail vengano cancellate?

Spesso no. La maggior parte dei filtri controlla i link e il testo, mentre un codice QR è un’immagine priva di un link leggibile. Alcuni fornitori di soluzioni di sicurezza ora analizzano i codici QR presenti nelle e-mail, ma il rilevamento è ancora in ritardo rispetto al phishing tradizionale. È proprio per questo che la vigilanza dei dipendenti rappresenta la misura più importante.

Il “quishing” non è una nuova forma di inganno, ma una nuova veste che riveste un vecchio trucco: indirizzare qualcuno verso una pagina fasulla e fargli fare il lavoro da solo. I team che riconoscono questo schema non si fermano ai link contenuti nelle e-mail, ma prestano attenzione anche a quel quadratino dall’aspetto innocuo.