Il quishing è una forma di phishing che utilizza i QR code per indirizzare gli utenti verso siti o pagine fraudolente. Dopo aver scansionato il codice con uno smartphone, l’utente può essere condotto verso una pagina che imita un servizio autentico e che richiede credenziali, dati personali o informazioni di pagamento.

Il rischio deriva anche dal fatto che il QR code nasconde visivamente l’indirizzo di destinazione: prima della scansione, infatti, non è immediatamente possibile capire quale sito verrà aperto.

Cos’è il Quishing

Il termine quishing deriva dall’unione di QR code e phishing. Il principio è simile a quello del phishing tradizionale, ma invece di utilizzare principalmente un collegamento testuale, la tecnica sfrutta un codice QR come mezzo per raggiungere la pagina fraudolenta.

I QR code possono essere inseriti in email, documenti, messaggi, volantini, manifesti o altri materiali, ma possono anche essere applicati fisicamente sopra codici legittimi già presenti in luoghi pubblici. Dopo la scansione, l’utente viene indirizzato verso un sito sul quale può essere invitato ad accedere a un account, effettuare un pagamento, confermare informazioni oppure inserire altri dati riservati.

La pagina raggiunta può riprodurre logo, colori e grafica di un’azienda, di un servizio o di un ente realmente esistente, facendo credere all’utente di trovarsi sul sito autentico. Il QR code rappresenta quindi il mezzo utilizzato per portare la persona verso la destinazione fraudolenta, mentre l’acquisizione dei dati avviene generalmente attraverso la pagina web aperta successivamente.

Come riconoscere il Quishing

Un QR code, osservato direttamente, non permette normalmente di conoscere l’indirizzo web che contiene. Per questo è importante prestare attenzione soprattutto al contesto nel quale viene proposto e alla pagina che viene aperta dopo la scansione.

Bisogna essere particolarmente cauti quando un QR code invita a effettuare urgentemente un pagamento, accedere a un account, verificare dati personali o risolvere un presunto problema. La presenza del logo di un’azienda o di un’organizzazione vicino al codice non dimostra che quest’ultimo sia stato effettivamente generato da quel soggetto.

Dopo la scansione è fondamentale controllare l’indirizzo visualizzato prima di aprire la pagina, quando lo smartphone offre questa possibilità, e successivamente verificare il dominio nella barra del browser. Domini insoliti, indirizzi molto simili a quelli autentici o completamente differenti dal servizio rappresentato costituiscono elementi da approfondire.

Nel caso dei QR code presenti fisicamente, è utile verificare anche che non siano stati applicati adesivi o etichette sopra il codice originale, soprattutto quando vengono utilizzati per pagamenti o accesso a servizi.

Come proteggersi dal Quishing

La principale precauzione consiste nel non considerare automaticamente affidabile un QR code solo perché appare in un contesto credibile. Prima di aprire il collegamento è opportuno verificare, quando possibile, l’anteprima dell’indirizzo mostrata dallo smartphone.

Se il QR code dovrebbe condurre al sito di una banca, di un servizio pubblico, di un negozio o di un’altra organizzazione conosciuta, ma vengono richieste password, dati bancari o informazioni personali, può essere preferibile interrompere l’operazione e raggiungere autonomamente il sito ufficiale attraverso il browser o l’applicazione del servizio.

È inoltre importante mantenere smartphone, browser e applicazioni aggiornati e non ignorare eventuali avvisi di sicurezza. Quando il QR code viene utilizzato per effettuare un pagamento, è opportuno controllare con particolare attenzione destinatario, importo e pagina sulla quale viene richiesta la conferma dell’operazione.

Verifica se il sito è presente nel Registro dei Siti Verificati

Prima di acquistare, effettuare un pagamento o comunicare informazioni personali, può essere utile verificare se il sito è presente nel Registro dei Siti Verificati. I siti presenti nel Registro sono associati a un ID Verifica e a una scheda aziendale attraverso la quale è possibile consultare le informazioni relative al soggetto che gestisce il sito e sottoposte a verifica.

La consultazione rappresenta quindi un ulteriore controllo sull’identità dichiarata dal titolare del sito, da affiancare alle altre verifiche consigliate prima di effettuare operazioni online.

Cosa fare dopo una scansione

La semplice scansione di un QR code sospetto non significa necessariamente che i propri dati siano stati compromessi. Se è stata visualizzata soltanto l’anteprima dell’indirizzo oppure è stata aperta la pagina senza inserire informazioni, effettuare pagamenti o scaricare file, è consigliabile chiuderla e non interagire ulteriormente.

Se invece sono state inserite credenziali di accesso, è opportuno modificare tempestivamente la password sul servizio autentico, controllare eventuali accessi non riconosciuti e cambiare la stessa password anche sugli altri account nei quali fosse stata riutilizzata.

Quando sono stati forniti dati bancari, informazioni di pagamento o autorizzata un’operazione, è importante contattare rapidamente la banca o il prestatore del servizio utilizzato per verificare le misure disponibili. È inoltre utile conservare il QR code, l’indirizzo della pagina raggiunta, eventuali messaggi, schermate e ricevute, soprattutto se si ritiene necessario effettuare una segnalazione alle autorità competenti.

Domande frequenti

Qual è la differenza tra phishing e quishing?
Il phishing utilizza comunicazioni ingannevoli per ottenere informazioni riservate. Nel quishing il collegamento verso la pagina fraudolenta viene veicolato attraverso un QR code.

Scansionare un QR code è sufficiente per subire una truffa?
Non necessariamente. La semplice scansione non significa automaticamente che siano stati sottratti dati. Il rischio aumenta quando si apre la destinazione, si inseriscono informazioni, si autorizzano operazioni o si scaricano contenuti.

Un QR code può portare a un sito falso?
Sì. Un QR code può contenere un normale indirizzo web e quindi anche l’indirizzo di una pagina fraudolenta. Per questo è importante verificare il dominio raggiunto.

Un QR code stampato in un luogo pubblico è necessariamente sicuro?
No. Un codice potrebbe essere stato sostituito o coperto con un adesivo contenente un QR code differente. È consigliabile prestare particolare attenzione quando viene utilizzato per pagamenti o per fornire informazioni personali.

Cosa fare se ho pagato dopo aver scansionato un QR code sospetto?
È opportuno conservare la documentazione disponibile e contattare tempestivamente la banca o il servizio di pagamento utilizzato per verificare le possibilità previste per l’operazione effettuata.