Il quishing — phishing via QR code — è una truffa in cui un QR code ti porta a una finta pagina di pagamento, a un modulo di accesso o a un download invece della vera destinazione che imita. Poiché un QR code nasconde il suo link finché non lo scansioni, la difesa è semplice: visualizza il link, controlla il dominio e non inserire mai password o dati della carta dopo una scansione inaspettata.
Che cos'è il quishing e perché funziona
Un QR code non è altro che una scorciatoia: un pattern di punti che codifica un testo, di solito un indirizzo web. Il telefono decodifica quel testo e propone di aprirlo. Il problema è che i punti non si leggono a occhio, quindi non vedi mai dove porta un codice finché non è già sullo schermo.
I truffatori sfruttano due cose. Primo, l'abitudine: scansionare un menu, un segnale di sosta o un poster è un gesto routinario, e la routine fa smettere di pensare. Secondo, la fiducia presa in prestito: un codice stampato su un muro, una lettera o una fattura sembra ufficiale, anche se chiunque, con un generatore gratuito, può produrne uno in pochi secondi. La parola quishing nasce dall'unione di "QR" e "phishing": gli stessi trucchi delle email false, consegnati tramite un adesivo quadrato.
Le truffe da quishing più comuni
Adesivi falsi sopra codici veri. La versione classica prende di mira il pagamento della sosta tramite app. Il truffatore stampa il suo QR code su un adesivo e lo incolla sopra quello genuino sul parcometro o sul segnale. L'automobilista scansiona, arriva su una copia convincente del sito di pagamento, inserisce i dati della carta, e il denaro — insieme ai dati della carta — finisce al truffatore. Lo stesso trucco compare sulle colonnine di ricarica per auto elettriche, su bike sharing e monopattini in condivisione, sui tavoli dei ristoranti, sui poster per le donazioni e nelle cassette delle raccolte.
Codici nelle email e nelle lettere. Un QR code dentro un'email è di solito un'immagine, quindi i filtri antispam basati sul testo hanno meno da analizzare. Le lettere cartacee funzionano allo stesso modo: «il suo account sarà chiuso», «il suo pacco non è stato consegnato», «le spetta un rimborso — scansioni per richiederlo». Il formato lettera aggiunge autorevolezza; il QR code nasconde il link.
Richieste di pagamento urgenti. Molti messaggi di quishing premono sugli stessi tasti del phishing tradizionale: una multa da pagare subito, una consegna trattenuta al magazzino, un account sospeso. L'urgenza esiste per impedirti di controllare.
Una scansione può anche fare più che aprire una pagina. A seconda del contenuto, può aprire un'app di pagamento con il beneficiario già compilato, aggiungere un contatto (vCard) o un evento in calendario, avviare un download o connettere il telefono a una rete Wi-Fi. Ognuna di queste azioni può essere abusata.
Visualizza il link prima di aprirlo
La maggior parte dei telefoni recenti mostra la destinazione come banner o notifica quando scansioni con la fotocamera integrata — nulla si apre finché non tocchi. Tratta quell'anteprima come la cosa che conta davvero: leggila ogni volta, anche quando sei di fretta.
Su molti telefoni puoi tenere premuta l'anteprima per espandere l'indirizzo web completo, cosa utile ogni volta che un link sembra accorciato o strano. Se un'app scanner apre il browser in automatico, o avvia un download senza chiedere, sostituiscila. Uno scanner che mostra sempre prima il link — come quello gratuito su QRCodeMax.Vip — riporta la decisione nelle tue mani.
Un'altra abitudine: per tutto ciò che riguarda denaro o accessi, salta la scansione e apri direttamente l'app ufficiale o digita l'indirizzo che già conosci. Un QR code è una comodità, mai una necessità.
Come controllare un dominio in pochi secondi
Un indirizzo web ha una parte che conta: il dominio, le parole subito prima della prima barra singola. In pay.meters.example.com il dominio è example.com. In example.com.meters-pay.info il dominio è meters-pay.info — l'«example.com» all'inizio è decorazione. I truffatori contano sul fatto che le persone leggono da sinistra a destra e si fermano alla parola familiare.
Poi cerca i sosia: uno zero al posto di una «o», «rn» al posto della «m», trattini in più, o un nome di marca noto incollato a un finale senza nessun rapporto. Le organizzazioni legittime usano un numero ridotto di domini per i pagamenti; un adesivo per la sosta che punta a un dominio mai visto è motivo più che sufficiente per fermarsi.
Se il dominio non ti dice nulla, non pagare, non accedere, non scaricare. Chiudi la pagina.
Diffida dell'urgenza — e non inserire mai credenziali dopo una scansione inaspettata
L'urgenza è il campanello d'allarme più rumoroso. Multe vere, consegne vere e problemi di account veri non scadono in trenta minuti, e nessuna organizzazione genuina ha fretta di avere la tua password. Qualsiasi messaggio che minaccia una multa, un gancio alla ruota, un pacco perso o un account chiuso se non scansioni e paghi immediatamente va trattato come ostile finché non si dimostri il contrario.
La regola che ti protegge da quasi ogni esito del quishing: dopo una scansione inaspettata, non inserire mai una password, un numero di carta o un codice monouso. Puoi guardare la pagina; non puoi digitare. Se devi davvero pagare la sosta o una bolletta, paga tramite l'app o il sito che usi di solito, non quello che ti ha passato un adesivo.
Prima di confermare qualsiasi pagamento aperto da una scansione, controlla il nome del beneficiario e l'importo — i pagamenti via QR code possono arrivare precompilati, e la truffa sta nella precompilazione. E non installare mai un'app né concedere permessi perché un QR code te l'ha chiesto.
Riconoscere adesivi manomessi e posizioni sospette
Le truffe fisiche lasciano indizi fisici. Prima di scansionare un codice in pubblico, dagli un'occhiata di due secondi:
- Bordi sollevati, bolle, o un adesivo appiccicato sopra un'etichetta stampata
- Una stampa più nitida, più sfocata o di colore diverso rispetto al segnale attorno
- Un codice messo dove non ha motivo di stare, come un codice di pagamento su un lampioncino
- Un adesivo che copre parte del testo originale o di un altro codice
Confronta il codice con l'indirizzo web stampato accanto in chiaro, se c'è; una discrepanza è un avvertimento chiaro. Se qualcosa non torna, non scansionare — paga in altro modo e segnala la manomissione all'operatore, usando il numero di telefono stampato sul distributore o sul segnale, mai uno indicato dall'adesivo stesso.
Usa uno scanner che mostra prima il link
La fotocamera integrata del telefono è di solito lo strumento giusto: mostra l'anteprima del link e non installa nulla da sola. Qualsiasi scanner tu usi, contano tre caratteristiche. Deve mostrare la destinazione prima di aprire qualsiasi cosa, non deve mai scaricare file in automatico, e deve provenire da una fonte di cui ti fidi anziché da una scheda sconosciuta in uno store di app.
Tieni aggiornati anche il sistema operativo e il browser del telefono; i browser moderni riconoscono molte pagine di phishing note e avvisano. Questa rete di sicurezza aiuta ma non è una garanzia — una pagina falsa su un dominio nuovo può essere identica a quella vera, ed è per questo che leggere il dominio conta più di qualsiasi strumento.
Se la tua attività usa QR code
Ogni codice che stampi è una promessa, e un adesivo sostituito la trasforma in un attacco ai tuoi clienti. Poche abitudini mantengono intatta quella promessa:
- Assegna ogni codice fisico a un responsabile e controlla con regolarità quelli a rischio elevato — sosta, pagamenti, macchine incustodite.
- Usa QR code gestiti o «dinamici» che puntano attraverso un dominio breve e coerente sotto il tuo controllo, così una destinazione compromessa si può cambiare o disattivare in pochi minuti invece di ristampare ogni poster.
- Stampa il dominio di destinazione in chiaro accanto a ogni codice. I clienti possono così verificare dove porta un codice, e un adesivo che copre quel testo risulta subito sospetto.
- Evita link brevi casuali che nascondono la destinazione; se accorci, usa il tuo dominio.
- Piazza i codici dove il personale li vede, o proteggili con una custodia a prova di manomissione, e tratta qualsiasi codice su una superficie esterna incustodita come un rischio costante.
- Spiega ai clienti come chiederai e come non chiederai mai un pagamento, e forma il personale a trattare i QR code nelle email con la stessa diffidenza dei link.
Infine, verifica periodicamente che ogni codice pubblicato porti ancora alla pagina giusta. Scoprirlo da un cliente è il modo peggiore di scoprire una sostituzione.
In sintesi
Un QR code è solo un link travestito: trattalo esattamente come tratteresti un link da uno sconosciuto — visualizzalo, leggi il dominio, rifiuta l'urgenza e non inserire mai password o dati della carta dopo una scansione inaspettata. Due secondi di pausa prima di toccare sventano quasi tutte le truffe da quishing.