I QR code sono sicuri da scansionare. Il codice in sé è solo un link codificato, e aprirlo non è più pericoloso che digitare a mano lo stesso indirizzo web. Il vero rischio vive in dove il codice ti manda - ed è lì che operano gli aggressori. Un QR code malevolo può puntare a una pagina di login contraffatta costruita per rubare la tua password, o a un download che ti chiede di installare qualcosa di dannoso. Quindi la risposta onesta a "i QR code sono sicuri" è: la scansione è sicura, la destinazione è ciò che devi controllare.
L'attacco ora ha un nome - quishing, una fusione di "QR" e "phishing" - ed è cresciuto perché aggira due difese in una volta. Un QR code nasconde la sua destinazione fino a dopo la scansione, quindi il vecchio consiglio di ispezionare un link prima di cliccare è più difficile da seguire. E poiché un codice è un'immagine, sfugge a molti filtri email che leggono solo testo e link. Governi e ricercatori di sicurezza hanno segnalato l'aumento, e la tecnica ora compare in tutto, dai falsi cartelli sui parchimetri alle fatture.
Lo guardo da una posizione di compliance, dove la domanda è di solito "possiamo mettere un QR code su qualcosa rivolto al cliente senza creare rischi?" La risposta è sì, con delle abitudini. Questa guida copre come funziona il quishing, come leggere un codice prima di fidartene, e cosa fare se ne hai già scansionato uno cattivo. Se stai creando codici anziché scansionarli, come creare un QR code è il punto da cui partire.
Come funziona il quishing
Un attacco di quishing ha la stessa anatomia di qualsiasi tentativo di phishing, con il link sostituito da un codice. Capire i passaggi rende ovvi i segnali d'allarme.
L'aggressore produce un QR code che si risolve in una destinazione fraudolenta - un finto portale di login, una pagina di pagamento o un prompt di malware. Lo colloca dove le persone scansionano senza pensarci: un'email che sembra provenire dall'IT o da una banca, un adesivo appiccicato sopra un codice reale su un manifesto o un parchimetro, un volantino, o un pacco inatteso. La vittima scansiona con il telefono, vede una pagina che imita qualcosa di familiare, e inserisce credenziali o dati della carta. I dati vanno all'aggressore.
Ciò che lo rende efficace è l'occultamento. Con un normale link di phishing, una persona attenta può passarci sopra e leggere prima l'URL. Un QR code non ti mostra nulla finché non ti sei già impegnato a scansionare, e su uno schermo piccolo la barra degli indirizzi è facile da ignorare. L'analisi del quishing di Kaspersky fa lo stesso punto: la destinazione nascosta è tutto il vantaggio. Il relativo trucco lato server che permette di piegare qualsiasi redirect verso un sito malevolo è l'argomento di le vulnerabilità di open redirect, e vale la pena sapere che i due spesso lavorano insieme.
Segnali d'allarme di un QR code malevolo
Puoi cogliere la maggior parte dei tentativi di quishing prima di qualsiasi danno leggendo insieme il contesto e l'anteprima. Pochi segnali fanno la maggior parte del lavoro.
- Non te lo aspettavi. Un codice che arriva non sollecitato - in un'email, un messaggio, una posta cartacea o un pacco consegnato che non hai ordinato - merita sospetto prima di ogni altra cosa.
- È un adesivo. Un codice fisico che sembra aggiunto sopra una grafica esistente, specialmente su parchimetri, manifesti e menu, è il singolo trucco più comune in circolazione.
- Fabbrica urgenza. Formulazioni come "scansiona immediatamente per evitare la sospensione" o "verifica ora" sono progettate per spingerti oltre il momento in cui normalmente controlleresti.
- L'anteprima sembra sbagliata. Dopo la scansione, la maggior parte dei telefoni mostra l'URL prima di aprirlo. Errori di ortografia, un dominio sconosciuto, un dominio che non corrisponde al brand, o uno shortener che non riesci a risolvere sono tutti motivi per fermarsi.
- Pretende subito credenziali o pagamento. Una destinazione legittima raramente ti chiede di accedere o pagare prima di mostrarti qualcosa. Una falsa ci apre.
Le indicazioni della Federal Trade Commission statunitense e i consigli del NCSC britannico sui messaggi sospetti si riducono entrambi allo stesso istinto: se il codice e il suo contesto non risultano entrambi giusti, non agire su ciò che apre.
Come scansionare i QR code in sicurezza
La scansione sicura è un breve insieme di abitudini, non un'app speciale. Nessuna di esse ti rallenta granché una volta diventata routine.
- Usa la fotocamera integrata del tuo telefono o uno scanner che mostra l'anteprima dell'URL. Leggi quell'anteprima prima di aprirlo, ogni volta.
- Confronta il dominio con chi pensi abbia inviato il codice. Il brand all'inizio dell'indirizzo dovrebbe corrispondere al brand sul manifesto, sull'email o sul menu.
- Diffida dei codici che si risolvono in uno shortener che non riesci a espandere - e viceversa, la fiducia è più facile quando un codice punta a un chiaro dominio brandizzato che riconosci.
- Non inserire mai password, numeri di carta o codici monouso su una pagina che hai raggiunto solo perché un QR code te lo ha detto. Naviga invece tu stesso al sito.
Quel terzo punto taglia in entrambe le direzioni, ed è dove chi crea i codici può aiutare chi li scansiona. Un link breve brandizzato su un dominio che un cliente riconosce è molto più facile da fidarsi di uno opaco, il che fa parte del perché brandizzare un codice è una funzionalità di sicurezza e non solo di design - vedi design di QR code brandizzati.
Se pubblichi QR code rivolti ai clienti e vuoi che risultino affidabili - il tuo dominio, il tuo branding, una destinazione che puoi ripuntare se mai venisse abusata - genera QR code tracciabili con Elido così il tuo pubblico vede un nome che conosce anziché una stringa casuale.
Se ne hai già scansionato uno cattivo
Scansionare e vedere in anteprima un codice malevolo non fa quasi nulla di per sé, quindi se ti sei fermato all'anteprima, molto probabilmente stai bene - chiudilo e vai avanti. L'esposizione viene dai passaggi successivi, e se li hai compiuti, muoviti rapidamente.
Chiudi la pagina e non inserire altro. Se hai già inserito una password, cambiala sul sito vero e attiva l'autenticazione a due fattori per quell'account. Se hai inserito i dati della carta o della banca, chiama la tua banca. Se hai installato o scaricato qualcosa, esegui una scansione di sicurezza e rimuovilo. Poi segnalalo - negli USA tramite la FTC, e altrove tramite il tuo organismo nazionale contro le frodi o il cybercrime - e tieni d'occhio gli account interessati per qualche settimana, perché le credenziali rubate vengono spesso usate in seguito anziché immediatamente. La postura più ampia per verificare qualsiasi destinazione breve o accorciata è in gli URL shortener sono sicuri e nella checklist di sicurezza per URL shortener.
I QR code vale la pena di tenerli - con delle abitudini
Niente di tutto questo è un motivo per abbandonare i QR code. Sono un ponte davvero utile dal fisico al digitale, e il formato in sé non è il problema - lo è l'ingegneria sociale che gli viene avvolta attorno. La stessa logica vale dal lato della pubblicazione: un codice che controlli, fai puntare al tuo dominio e puoi misurare e ripuntare è più sicuro per il tuo pubblico di uno statico usa e getta, perché puoi reagire se una destinazione viene mai compromessa.
Per le organizzazioni, la visione di compliance è che un QR code è solo un altro canale che trasporta un link, e le stesse regole di minimizzazione dei dati e di residency si applicano a qualunque cosa porti - il dettaglio è in GDPR per gli URL shortener e sulla nostra pagina trust. Scansiona con un'anteprima, controlla il dominio, non inserire mai segreti su una pagina a cui un codice ti ha spinto, e i QR code restano ciò che dovevano essere: una comodità, non una responsabilità.
Correlati sul blog
- Gli URL shortener sono sicuri? come verificare un link breve
- Le vulnerabilità di open redirect e come prevenirle
- La checklist di sicurezza per URL shortener
- Come tracciare le scansioni dei QR code e leggere le analytics
- Design di QR code brandizzati: loghi, colore e scansionabilità
- Come scansionare un codice QR su iPhone, Android e PC
- Frode con QR code dei biglietti evento: come prevenire gli screenshot
Domande frequenti
È sicuro scansionare i QR code?
Scansionare un QR code è sicuro di per sé - il codice è solo un link o un testo codificato, e aprirlo non è più pericoloso che digitare lo stesso indirizzo. Il rischio sta interamente in dove porta. Un QR code malevolo può puntare a una pagina di login contraffatta che ruba le tue credenziali, o a un download che ti chiede di installare qualcosa di dannoso. Quindi l'abitudine sicura non è evitare i QR code, ma vedere in anteprima l'URL prima di agire e trattare qualsiasi codice che pretenda login o pagamento con lo stesso sospetto che riserveresti al link di un'email inattesa.
Che cos'è il quishing?
Il quishing è il phishing condotto attraverso un QR code - la parola fonde 'QR' e 'phishing'. Invece di un link cliccabile in un'email, l'aggressore invia o affigge un QR code che, una volta scansionato, manda la vittima a un sito fraudolento o al download di un malware. Funziona perché un QR code nasconde la sua destinazione fino a dopo la scansione, quindi il solito consiglio di ispezionare un link prima di cliccare è più difficile da seguire, e perché i codici basati su immagini sfuggono a molti filtri email che scansionano solo testo e link.
Scansionare un QR code può installare malware o darti un virus?
La sola scansione non installa quasi mai nulla - la scansione legge solo un URL e propone di aprirlo. Il danno richiede un passo ulteriore: visiti la pagina e questa ti inganna facendoti scaricare un'app, concedere un permesso o inserire credenziali. I telefoni moderni aggiungono un livello di protezione mostrando l'URL e chiedendo prima di aprirlo. Il rischio pratico è sociale, non automatico: il pericolo è essere persuasi ad agire sulla destinazione, quindi la difesa è leggere l'anteprima e fermarsi se qualcosa non torna.
I QR code sui menu dei ristoranti sono sicuri?
Di solito sì, ma sono un bersaglio noto perché i clienti li scansionano senza pensarci. Il trucco specifico è un adesivo posto sopra il codice legittimo, che reindirizza a una pagina falsa che chiede un pagamento o un login. Prima di scansionare un codice su un menu, verifica che sia stampato come parte del menu anziché un adesivo appiccicato sopra, e una volta che si apre, conferma che il dominio corrisponda al ristorante o al suo fornitore di ordinazioni. Se un codice su un menu chiede una password o i dati della carta prima di mostrarti del cibo, chiudilo.
Come si capisce se un QR code è malevolo?
Guarda insieme il contesto e l'anteprima. I segnali d'allarme includono un codice che non ti aspettavi (in un'email, un messaggio o un pacco non sollecitati), un adesivo che copre un altro codice, formulazioni urgenti come 'scansiona ora per evitare la sospensione', e un URL in anteprima scritto male, che usa un dominio sconosciuto o che si nasconde dietro uno shortener che non riesci a risolvere. Dopo la scansione, una destinazione legittima raramente pretende login o pagamento immediatamente. Se l'anteprima e il contesto non risultano entrambi giusti, non proseguire.
Cosa dovrei fare se ho scansionato un QR code malevolo?
Se hai solo scansionato e visto in anteprima il link, quasi certamente stai bene - chiudilo e vai avanti. Se hai inserito informazioni o scaricato qualcosa, agisci rapidamente: chiudi la pagina, cambia la password di qualsiasi account hai esposto e attiva l'autenticazione a due fattori, contatta la tua banca se hai inserito i dati della carta, esegui una scansione di sicurezza sul dispositivo, e segnalalo all'autorità competente (negli USA, la FTC su ReportFraud.ftc.gov). Tieni d'occhio gli account interessati per attività inattese nelle settimane successive.
Prova Elido
Incolla un URL, ottieni un link breve
Senza registrazione. Il link vive 30 giorni. Iscriviti per conservarlo.
Gratis, nessuna registrazione richiesta · 2 al giorno