Ammettilo: negli ultimi due anni hai scansionato più QR code di quanti ne avessi visti in tutta la vita prima. Il menu al ristorante, il volantino dell’evento, il parcheggio, la locandina in metropolitana… quei quadratini pixelati sono ovunque, e li scansioniamo senza pensarci due volte. Ed è proprio questa fiducia cieca che i truffatori digitali hanno imparato a sfruttare alla grande. Benvenuti nel mondo del “quishing”, il phishing travestito da QR code.
Ma cos’è esattamente il quishing?
Il nome è la fusione di “QR” e “phishing”, e il concetto è semplice quanto geniale (nel senso malvagio del termine): invece di mandarti un link sospetto via email, qualcuno ti fa scansionare un codice QR che ti porta dritto su un sito falso, magari identico a quello della tua banca, di Netflix o di un corriere che aspetti da giorni.
Il bello (per i cybercriminali) è che un QR code non “si legge” a occhio come un link. Se ti arriva una mail con scritto www.banka-italiana-sicura.ru qualche sospetto ti viene. Ma un codice a barre bidimensionale? Non puoi capire dove ti porta finché non lo scansioni, e a quel punto potresti già essere sulla pagina truffa.
Dove si nascondono questi QR code malevoli
Non pensare solo a mail sospette: il quishing ha trovato terreno fertile ovunque ci sia un pretesto plausibile per farti scansionare qualcosa.
- Parcheggi e multe: adesivi con QR falsi attaccati sopra quelli veri dei parchimetri, che promettono di farti pagare la sosta ma in realtà rubano i dati della carta.
- Pacchi e consegne: finti avvisi di mancata consegna con QR code che porta a un sito che chiede “una piccola tassa doganale”.
- Ristoranti e locali: adesivi sovrapposti al menu digitale originale.
- Email aziendali: “Scansiona per aggiornare la tua password” o “Verifica il tuo account MFA”, perfette per superare i filtri anti-spam che di solito bloccano i link ma non riconoscono un’immagine come minaccia.
- Volantini e manifesti per eventi, sondaggi o presunti buoni sconto.
Perché funziona così bene
Ci sono un paio di motivi psicologici dietro il successo di questa truffa, e vale la pena capirli.
Primo: i QR code trasmettono un senso di ufficialità. Sono associati a menu, pagamenti, biglietti: contesti “seri”, quindi la nostra guardia si abbassa automaticamente.
Secondo: li scansioniamo quasi sempre dal telefono, che spesso ha meno protezioni installate rispetto al computer e dove è più difficile notare se un URL è strano, perché lo schermo è piccolo e la fretta è tanta.
Terzo: è un attacco “fisico-digitale”, cioè sfrutta un oggetto reale (l’adesivo, il volantino) per portarti in un ambiente virtuale insidioso, un salto che spesso i software di sicurezza tradizionali non riescono a intercettare in tempo.
Come riconoscere (e evitare) il quishing
La buona notizia è che con qualche piccola abitudine puoi ridurre drasticamente il rischio. Non serve diventare paranoici, basta un po’ di sana diffidenza.
- Guarda prima di scansionare: se il codice è un adesivo attaccato sopra un altro, o sembra fuori posto rispetto al resto del materiale grafico, è un campanello d’allarme enorme.
- Controlla l’anteprima del link che il tuo telefono mostra prima di aprirlo. Quasi tutte le app fotocamera moderne mostrano l’URL prima di reindirizzarti: leggilo con attenzione, non fidarti solo del nome del brand.
- Diffida delle richieste urgenti: “scansiona subito o perdi il pacco”, “offerta valida solo per i prossimi 10 minuti”. La fretta è sempre l’arma preferita dei truffatori.
- Non inserire mai dati sensibili (password, numeri di carta, codici OTP) su un sito raggiunto tramite QR code, a meno che tu non sia sicuro al 100% della fonte.
- Usa un’app di scansione con protezione integrata, molti antivirus moderni per smartphone segnalano i link pericolosi prima ancora che tu li apra.
- In azienda, sensibilizza i colleghi: un QR in una mail “urgente” dall’IT dovrebbe sempre far scattare un doppio controllo, magari una telefonata di verifica.
E se hai già scansionato qualcosa di sospetto?
Niente panico, ma agisci in fretta. Se hai inserito dati su un sito che ora ti sembra sospetto, cambia subito la password dell’account coinvolto e attiva (se non l’hai già fatto) l’autenticazione a due fattori. Se hai inserito dati di una carta, contatta la banca per bloccarla o monitorarla nei giorni successivi. E se il QR proveniva da un luogo pubblico, sarebbe carino segnalarlo al gestore del locale o dell’ente competente: magari eviti che caschi qualcun altro dopo di te.
Il quadratino non è colpevole, ma la fretta sì
Il QR code in sé è solo una tecnologia comoda e neutra, esattamente come un link o una email. Il problema, come sempre nella sicurezza informatica, non è lo strumento ma l’abitudine di usarlo senza pensarci. La prossima volta che stai per tirare fuori il telefono per scansionare qualcosa, fermati un secondo in più: quel secondo potrebbe risparmiarti settimane di grattacapi.