Come riconoscere un QR code falso (e cosa fare)

Un adesivo con QR code falso è un codice che qualcuno ha incollato sopra uno legittimo, oppure un codice piazzato dove non dovrebbe essercene nessuno, in modo che la vostra scansione vi porti su un sito controllato dall'attaccante. La maggior parte si riconosce controllando la superficie fisica per segni di manomissione, scansionando soltanto codici che vi aspettate di trovare in quel luogo, e leggendo l'indirizzo web che il telefono mostra prima di toccare qualsiasi cosa. Se avete già scansionato e inserito dati, agite in fretta: cambiate la password dell'account interessato, contattate la banca se avete pagato o condiviso i dati della carta, e restate attenti ai tentativi di phishing successivi.

Perché i falsi adesivi QR funzionano

I QR code sono silenziosi. Un adesivo ben stampato sembra esattamente il tipo di codice che un'attività userebbe legittimamente, e la maggior parte delle persone è stata abituata da anni di menu, app per il parcheggio e poster di pagamento a scansionare senza pensare. Il telefono fa il lavoro, quindi l'occhio smette di fare il suo.

L'attacco in sé è semplice. Qualcuno stampa un codice che punta a un sito clonato, passa davanti a un parcometro o al tavolo di un ristorante, e lo incolla sopra il codice vero. Quando scansionate, atterrate su una pagina che imita il sito o l'app di pagamento ufficiale e chiede i dati della carta o un login. Poiché la scansione l'avete avviata voi, la richiesta sembra affidabile in un modo che un messaggio casuale non è mai.

Nei circoli della sicurezza si chiama "quishing", ma il nome conta meno della meccanica: il QR code è solo un link, e un link può puntare a qualsiasi cosa. La vostra difesa è trattare ogni scansione come trattereste un link in un'email inaspettata.

Dove tendono a comparire i codici falsi

Qualunque luogo in cui un codice vi invita a pagare, accedere o scaricare qualcosa è un candidato. I bersagli più comuni:

• Parcometri e segnali di parcheggio a pagamento tramite app, dove un codice falso può portare a una pagina di pagamento che cattura i dati della vostra carta.
• Adesivi su stazioni di ricarica pubbliche, dock per bike sharing e colonnine per veicoli elettrici.
• Manifesti e volantini per eventi, beneficenza o consegne, in particolare quelli che chiedono un acconto o una "commissione di consegna".
• Codici sui tavoli dei ristoranti per menu e pagamento.
• Pacchi e note di consegna, dove un falso codice "traccia il tuo pacco" può portare a una pagina di phishing che chiede una tariffa di ridelivery o dati personali.
• Zone intorno agli ATM, biglietterie automatiche e qualunque terminale pubblico con una superficie liscia e piatta dove un adesivo può aderire perfettamente.

Il filo conduttore è denaro o credenziali. Un codice che porta a una pagina di login Wi-Fi è un bersaglio molto meno attraente di uno che porta a un modulo di pagamento, quindi concentrate il sospetto dove il codice vi chiede di pagare o accedere.

Segni fisici di manomissione

Prima di scansionare, dedicate tre secondi a guardare il codice stesso. Cercate prove che non appartiene alla superficie su cui si trova.

• Bordi e angoli. Un adesivo appoggiato sopra un codice stampato di solito mostra un bordo rialzato, un angolo leggermente sollevato o un contorno tenue dove è stato premuto. Passate un'unghia lungo il bordo se la superficie lo consente.
• Qualità di stampa diversa. I codici ufficiali su un parcometro o un terminale di pagamento di solito sono stampati o incisi come parte della struttura. Un adesivo stampato a casa spesso ha colori leggermente diversi, una finitura più lucida o una pixelatura visibile attorno ai moduli.
• Allineamento. Se il codice è storto, decentrato, o sovrapposto a un testo accanto al quale dovrebbe stare, consideratelo sospetto.
• Sovrapposizione. Due codici molto vicini, o un adesivo che copre una cornice o un logo che fa parte del design originale, sono un segnale forte di copertura.
• Usura incoerente. Un codice che sembra nuovo su una superficie consumata e sbiadita non c'è da così tanto quanto la superficie.
• Residui di colla. Sbavature, bolle o fantasmi di vecchi adesivi attorno al codice suggeriscono che quel punto è già stato manomesso.

Nessuno di questi controlli è infallibile da solo. Un attaccante attento può stampare un adesivo pulito e ben allineato. Il punto è che la maggior parte delle manomissioni viene fatta in fretta e a poco costo, e di solito si nota.

Controllate il link prima di aprirlo

L'abitudine più utile in materia di sicurezza dei QR è questa: il telefono vi mostra dove porta un codice prima che vi impegniate. Usatelo.

Sulla maggior parte dei telefoni moderni, scansionare un QR code con l'app fotocamera integrata produce una notifica o un banner che mostra l'indirizzo web. Non toccatelo subito. Leggetelo prima.

Cosa cercare nell'indirizzo:

• Il dominio. È la parte subito prima della prima barra singola, ed è l'unica parte che conta davvero. In https://pay.parcheggio-esempio.com/checkout, il dominio è parcheggio-esempio.com. Tutto ciò che precede il primo punto (pay.) e tutto ciò che segue la prima barra (/checkout) è decorazione che chiunque può scegliere liberamente.
• Errori di ortografia e cloni. Gli attaccanti puntano su piccole differenze: paGamenti-sito.com invece di pagamenti-sito.com, lettere in più, lettere scambiate, o trattini dove non spettano. Se è in gioco del denaro, leggete il dominio lettera per lettera.
• Accorciatori sconosciuti. Gli indirizzi provenienti da servizi di accorciamento link (tipicamente domini molto brevi seguiti da un codice dall'aspetto casuale) nascondono completamente la destinazione. Non potete sapere dove portano senza risolverli, quindi trattate i link accorciati provenienti da adesivi fisici con sospetto extra. Alcuni servizi di accorciamento mostrano una pagina di anteprima; se il vostro no, non seguite il link quando sono coinvolti denaro o login.
• Il lucchetto non è una garanzia. L'icona del lucchetto o "https" significa che la connessione è cifrata, non che il sito sia onesto. Anche i falsi siti di phishing usano https. Non considerate mai il lucchetto una prova di legittimità.
• Pressione immediata. Se la pagina che il codice apre esige che accediate, paghiate o inseriate i dati della carta subito, quell'urgenza è di per sé un segnale d'allarme. Le pagine legittime di parcheggio e pagamento di solito vi lasciano prima rivedere cosa state pagando.

Se siete in dubbio, digitate voi stessi l'indirizzo web noto dell'organizzazione nel browser invece di usare il codice. Trenta secondi di digitazione valgono meglio di una carta compromessa.

Segnali d'allarme dopo la scansione

Alcuni attacchi diventano visibili solo una volta che il codice si è aperto. Fermatevi e uscite se accade una di queste cose:

• La pagina chiede i dati della vostra carta per pagare qualcosa che non avete selezionato, oppure chiede un pagamento prima di mostrarvi cosa state pagando.
• Compare una pagina di login dove vi aspettavate un menu, un orario o un listino prezzi.
• Il sito vi chiede di installare un'app o un profilo di configurazione da fuori dello store ufficiale del vostro telefono.
• La pagina chiede informazioni di cui nessun processo legittimo ha bisogno in quel momento: il PIN completo della carta, la password dell'home banking, o i codici monouso della vostra app bancaria.
• L'indirizzo cambia più volte in rapida successione, saltando di reindirizzamento in reindirizzamento prima di atterrare in un posto inaspettato.
• La pagina sembra un servizio noto, ma il dominio nella barra degli indirizzi non corrisponde al vero nome di quel servizio.

Uscire non vi costa nulla. Inserire dati su una pagina falsa può costarvi caro.

Cosa fare se avete già scansionato e inserito dati

Se vi accorgete dopo aver usato una pagina falsa, la velocità conta più dell'imbarazzo. Procedete in quest'ordine:

1. Se avete inserito i dati della carta, contattate subito la banca. Chiedete di bloccare o sostituire la carta e segnalate la transazione. La maggior parte delle banche ha un numero antifrode attivo 24 ore; il numero è sul retro della carta o sul sito ufficiale della banca, non su nessuna pagina a cui il QR code vi ha portato.
2. Se avete inserito una password, cambiatela ora, sul servizio interessato e in qualsiasi altro luogo in cui avete riutilizzato la stessa password. Se non usate un gestore di password, cambiare le password riutilizzate è il momento giusto per iniziare.
3. Se avete approvato un pagamento o una richiesta di accesso, revocatelo. Controllate la pagina di sicurezza o delle sessioni dell'account per dispositivi sconosciuti e disconnetteteli.
4. Se avete installato un'app o un profilo, rimuovetelo, poi eseguite la scansione di sicurezza integrata del telefono, se ce l'ha. Su iPhone controllate nelle Impostazioni i profili di configurazione che non riconoscete; su Android disinstallate tutto ciò di cui non sapete dare conto.
5. Restate attenti agli attacchi successivi. Gli attaccanti che catturano il vostro numero di telefono o email spesso proseguono con SMS e chiamate convincenti. Trattate qualsiasi messaggio sull'episodio con sospetto e contattate le organizzazioni attraverso i loro canali ufficiali.
6. Segnalatelo. Informate l'attività il cui codice è stato coperto, e denunciate l'accaduto alla polizia locale o al servizio nazionale di segnalazione dei crimini informatici. Questo li aiuta ad avvertire altri clienti e, a volte, a far rimuovere l'adesivo.

Conservate una documentazione di quanto accaduto, incluso l'indirizzo a cui siete stati mandati e gli eventuali riferimenti del pagamento. Potreste averne bisogno per la banca o per la polizia.

Come le attività possono proteggere i propri codici

Se gestite un'attività che usa QR code, difendete sia i vostri clienti sia la vostra reputazione. Misure pratiche, più o meno in ordine di impatto:

• Stampate l'indirizzo di destinazione accanto al codice. Un indirizzo web breve e leggibile sotto il codice permette ai clienti di verificare dove porta e offre un'alternativa se diffidano dell'adesivo. È la protezione più economica ed efficace disponibile.
• Usate etichette a prova di manomissione. Le etichette di sicurezza che si strappano, lasciano una trama o mostrano "VOID" quando vengono rimosse rendono gli adesivi di copertura evidenti e rendono la manomissione visibilmente rischiosa.
• Montate i codici in modo che non possano essere coperti. Targhe incise, pannelli incassati o codici stampati direttamente sulla struttura sono molto più difficili da sostituire di un adesivo di carta su una superficie piatta.
• Controllate i vostri codici regolarmente. Aggiungete una rapida verifica visiva alle routine esistenti: il personale che apre un ristorante controlla i codici dei tavoli ogni mattina, i giri di un gestore di parcheggi includono i parcometri, un negozio controlla i manifesti in vetrina. Cercate adesivi sopra i vostri codici, residui o codici che sembrano diversi da quelli che avete installato.
• Usate un dominio che controllate e tenetelo corto. Un indirizzo breve e memorabile è più facile da verificare a colpo d'occhio per i clienti di uno lungo e pieno di parametri.
• Evitate link accorciati "alla cieca" in pubblico. Se dovete usare un accorciatore, sceglietene uno che mostra una pagina di anteprima, così chi scansiona può vedere la destinazione.
• Spiegate ai clienti com'è un codice legittimo. Un piccolo avviso che dice "la nostra pagina di pagamento è a [indirizzo]; non chiediamo mai il tuo PIN" stabilisce l'aspettativa che la verifica sia normale.
• Reagite in fretta quando trovate una manomissione. Rimuovete il falso, pulite la superficie, sostituite con una versione a prova di manomissione e avvisate i clienti attraverso i vostri canali abituali.

Costruire l'abitudine

La sicurezza dei QR non riguarda la paranoia; riguarda un'unica abitudine applicata con costanza: verificare prima di agire. Guardate il codice fisico per segni che non è stato piazzato dall'attività. Leggete l'indirizzo che il telefono mostra prima di toccare. Rifiutate le pagine che esigono login, pagamenti o installazioni di app sotto pressione. Digitate voi stessi gli indirizzi noti quando è in gioco del denaro. E se gestite un'attività, rendete i vostri codici fisicamente difficili da falsificare e offrite ai clienti un modo per verificarli.

La tecnologia non è il problema. Un QR code è un link, e i link sono sicuri quando leggete dove vanno. Il rischio nasce dallo scansionare su pilota automatico. Interrompete il pilota automatico, e la maggior parte di questi attacchi fallisce al primo passo.

Conclusione

I falsi adesivi QR riescono perché sembrano normali e perché scansionare sembra l'opzione sicura e familiare. La vostra difesa richiede secondi: ispezionate l'adesivo per bordi sollevati e stampe incoerenti, leggete l'indirizzo web prima di aprirlo, e non inserite mai dati della carta o password su una pagina raggiunta attraverso un codice non verificato. Se siete già stati colti, contattate la banca e cambiate le password subito. Le attività dovrebbero stampare l'indirizzo di destinazione accanto a ogni codice pubblico, usare etichette a prova di manomissione e controllare i codici regolarmente. Il punto chiave: trattate ogni QR code come un link da uno sconosciuto finché non avete letto dove porta davvero.