Cos'è il Quishing e come difendersi da questo attacco

Anno dopo anno, i criminali informatici si inventano sempre cose nuove per ingannarti e aggirare i sistemi di sicurezza. Una delle ultime trovate e in rapida ascesa è il Quishing. Un tipo di attacco che ha registrato un aumento di oltre il 597% negli ultimi periodi, come evidenziato da una importante ricerca di sicurezza fatta da Harmony Email, azienda facente parte del centro Check Point Software Technologies, dimostrando ancora una volta quanto l'ingegneria sociale sia in continua evoluzione.

Sfrutta la semplicità dei simboli bidimensionali combinandola con l'efficacia del phishing tradizionale, un mix incredibilmente facile da realizzare, ma potenzialmente dannoso per te che rischi il furto di credenziali e dati sensibili.

Quishing (QR phishing): cos'è e perché è così pericoloso

Il termine Quishing deriva proprio dalla fusione di "QR code" (Quick Response Code) e "phishing", definendo chiaramente la natura ibrida di questa minaccia informatica. In sostanza, si tratta di una forma di social engineering in cui un codice QR viene manipolato per reindirizzarti verso una destinazione malevola, cercando così di rubarti credenziali bancarie o password di accesso, o spingerti a scaricare malware sul tuo dispositivo.

Capisci da te che questa è un'ottima tecnica per bypassare i controlli proprio perché si servono della tua fiducia, oggi presenti praticamente ovunque: menu digitali, pagamenti di parcheggi o campagne di marketing, tutti percepiti come strumenti innocui e rapidi.

Attacchi di questo genere sfruttano abilmente sia il piano fisico che quello digitale per raggiungere il maggior numero di vittime.
Nel primo caso la truffa è spesso attuata attraverso la sostituzione o la sovrapposizione di adesivi contenenti il codice QR malevolo su codici legittimi (avvisi pubblici, cartelloni pubblicitari, ecc.), mentre nel secondo viene veicolato tramite e-mail di phishing (o via messaggi in chat come con WhatsApp e simili) che imitano comunicazioni di servizi affidabili.

Essendo non leggibile dall'occhio umano vedendolo come una semplice immagine, è facile nascondere un link fraudolento all'interno di un file che i filtri anti-spam tradizionali spesso faticano a decifrare. Se scansionato con il tuo smartphone, questo URL fake simile all'originale ti reindirizza immediatamente al sito spoofing o in alcuni casi può anche avviare come già detto un download di un potenziale software pericoloso.

Potrebbe interessarti anche: Come capire se un sito web è sicuro

Come difenderti dal Quishing

Ora sai cos'è e perché questo tipo di attacco può essere molto rischioso, e avrai di certo capito che la protezione inizia dalla consapevolezza e dalla tua attenzione al dettaglio, specialmente quando si tratta di sicurezza informatica.

Ispeziona e diffida subito

La prima difesa è sempre l'approccio critico, specialmente per i codici QR trovati in ambienti pubblici. Devi controllare visivamente se sono presenti segni di manomissione, sovrapposizione (un adesivo sopra l'originale) o stampe di bassa qualità.
In caso di ricezione via e-mail o SMS non richiesti, ignora qualsiasi senso di fretta e diffida le richieste che ti chiedono l'inserimento di dati sensibili tramite una scansione.

A livello "tecnico", ci sono poi alcuni passaggi che puoi compiere per aumentare il tuo livello di cyber security.
Prima di tutto, usa solo app di scansione QR sicure che ti permettano di vedere l'indirizzo di destinazione prima di aprirlo. Questa anteprima ti farà devere se l'indirizzo appare abbreviato (es. bit.ly), non coerente con l'ente che lo ha inviato, o se presenta evidenti refusi (typosquatting). In tal caso non dovrai procedere.

Non vuoi installare App? Puoi usare il mio piccolo strumento online che consente la generazione di QRcode personalizzato con preview dell'URL e supporto vCard. Altre applicazioni web e tool gratuiti su TantiLink.

Per concludere, ti suggerisco l'abilitazione dell'autenticazione a più fattori (MFA) come Proton Authenticator

Per oggi è tutto. Hai mai ricevuto o notato un codice QR sospetto in giro? Condividi la tua esperienza nei commenti qui sotto. E se pensi che questo piccolo articolo possa essere utile a un amico, un familiare o un collega, ti invitito a condividerlo. Più persone sono consapevoli, più siamo tutti al sicuro.