I QR code sono ovunque: menu dei ristoranti, parcheggi, biglietti, bollette, cartelli informativi, pubblicità. Inquadrarli è diventato un gesto automatico. Proprio per questo sono diventati anche un veicolo di truffe, a cui è stato dato un nome specifico: quishing, dall'unione di QR e phishing.
Perché il QR code è un buon travestimento
Un QR code non è altro che un modo di scrivere un testo, quasi sempre un indirizzo web, in forma di immagine. Il problema è che quell'indirizzo non si legge a occhio. Con un link scritto puoi almeno notare un dominio strano; con un quadrato di pixel non vedi nulla finché non lo inquadri.
Ci sono altri fattori che rendono il quishing efficace:
- cambia dispositivo: un'email letta sul computer contiene un QR code da inquadrare con il telefono. Il telefono spesso ha meno protezioni, schermi più piccoli e indirizzi parzialmente nascosti;
- supera alcuni filtri: molti sistemi antispam analizzano i link testuali, ma faticano di più con un indirizzo nascosto dentro un'immagine;
- sfrutta il mondo fisico: un adesivo applicato sopra il codice originale su un parchimetro o una colonnina di ricarica non viene notato facilmente.
Gli scenari più comuni
Parcheggi e colonnine
Un adesivo con un QR code falso viene incollato sopra quello autentico o accanto alle istruzioni. Inquadrandolo, si arriva a una pagina che imita il servizio di pagamento e chiede i dati della carta.
Email "aziendali"
Un messaggio dice che la password della tua casella di lavoro sta per scadere, o che devi firmare un documento, e invita a inquadrare un codice per "proseguire in sicurezza dal telefono". La pagina raccoglie le credenziali.
Lettere e avvisi cartacei
Finte comunicazioni di multe, pacchi in giacenza o rimborsi arrivano anche per posta tradizionale, con un QR code per "pagare subito" o "verificare i dati".
Annunci di vendita
Nelle compravendite tra privati, il finto acquirente invia un QR code dicendo che serve per "ricevere il pagamento". In realtà porta a una pagina che chiede i dati della carta o avvia un pagamento nella direzione opposta.
Come inquadrare un codice in sicurezza
Guarda l'anteprima dell'indirizzo
La fotocamera di Android e iPhone mostra il link prima di aprirlo. Leggilo: il dominio corrisponde al servizio che ti aspetti? È scritto in modo strano, con trattini, lettere in più, estensioni insolite? Se usi un servizio di accorciamento dei link, non puoi sapere dove porta: in un contesto di pagamento è un motivo per fermarti.
Controlla il supporto fisico
Su parchimetri, colonnine e cartelli, passa un dito sul codice: un adesivo sovrapposto si sente. Se ci sono due codici, o il codice sembra applicato in un secondo momento, non usarlo.
Preferisci l'app ufficiale
Per pagare parcheggi, ricariche o bollette, usa l'app ufficiale del servizio, che trovi nello store, o digita a mano l'indirizzo indicato sul cartello. Il QR code è una scorciatoia, non l'unico modo.
Diffida dei QR nelle email
Un servizio che ti scrive via email raramente ha bisogno di farti inquadrare un codice per accedere al tuo account. Un'email che ti chiede di farlo per motivi di "sicurezza" o "scadenza password" merita il massimo sospetto. Accedi al servizio come fai sempre, dai preferiti o dall'app.
Non inquadrare per ricevere denaro
Per ricevere un pagamento non devi inquadrare nulla né inserire i dati della tua carta. Se qualcuno te lo chiede in una vendita online, interrompi la trattativa.
Dopo la scansione: cosa non fare
Anche se hai aperto una pagina, non è troppo tardi. Fermati se la pagina:
- chiede di inserire password o dati della carta per un'operazione banale;
- chiede di installare un'app al di fuori dello store ufficiale;
- chiede di consentire le notifiche o di scaricare un profilo di configurazione.
Se hai già inserito dati, segui le stesse regole del phishing: blocca la carta tramite la banca, cambia la password dal sito ufficiale e attiva la verifica in due passaggi.
Per chi gestisce attività
Se nel tuo locale o nel tuo negozio usi QR code per menu o pagamenti:
- controlla periodicamente che non siano stati coperti o sostituiti;
- stampa accanto al codice l'indirizzo del sito, in modo che i clienti possano verificarlo;
- per i codici esposti all'esterno, preferisci supporti difficili da manomettere, per esempio sotto una protezione trasparente.
In sintesi
- Il quishing nasconde un link malevolo dentro un QR code, che non si legge a occhio.
- Spesso sposta la vittima dal computer al telefono e aggira alcuni filtri.
- Leggi sempre l'anteprima dell'indirizzo prima di aprirlo.
- Su parchimetri e colonnine controlla gli adesivi sovrapposti e preferisci l'app ufficiale.
- Diffida dei QR nelle email e non inquadrarne mai uno per ricevere un pagamento.