Non aprite quel QR code: come funziona il quishing, la truffa che parte dalla fotocamera
Hanno tappezzato i tavoli dei ristoranti, le vetrine dei negozi, i cartelloni pubblicitari, le reception degli alberghi. Per accedere alle informazioni basta inquadrare un QR Code. Eppure sempre più frequentemente gli hacker si infilano nel mosaico bianco e nero. Una ricerca di Harmony Email, del team di Check Point Software, ha registrato un aumento delle truffe legate al QR Code pari al 587%. Il fenomeno si è anche guadagnato un nome, ‘quishing‘, il termine lega il QR Code al phishing, una truffa telematica che cerca di estrapolare le informazioni personali simulando pagine web create ad hoc per ingannare gli utenti.
Secondo Jeremy Fuchs, ricercatore e analista di sicurezza di Check Point Software, gli hacker creano codici QR falsi, se l'utente inquadra con la fotocamera il codice entra su un sito dove viene richiesto di inserire le proprie credenziali, tra queste anche le informazioni bancarie. Spesso i QR arrivano in allegato via mail, nel testo viene chiesto di seguire istruzioni per accedere ai loro account temporaneamente disattivati. L'esca è semplice ma funziona perché le immagini non vengono considerate come una minaccia per i programmi antivirus. "Abbiamo implementato, rapidamente, una protezione per i QR Code. Bisogna disporre di diversi strumenti per poter reagire tempestivamente ai cambiamenti nel panorama degli attacchi. Non possiamo sempre sapere in quale direzione si muoveranno gli hacker. Ma abbiamo gli strumenti fondamentali per combatterli".
Come funzionano i QR Code
Il QR Code (Quick Response Code, codice a risposta rapida) è un' immagine quadrata con moduli neri su sfondo bianco, e contiene informazioni specifiche. Funziona come un codice a barre, e una volta scansionato può reinderizzare verso un sito o un'app. Durante la pandemia è diventato più comune utilizzare i QR Code, e anche i criminali informatici hanno cominciato a utilizzarli per le truffe online. “Sono un ottimo modo per ingannare gli utenti. L’immagine può nascondere un collegamento dannoso e se l’immagine originale non viene scansionata e analizzata, apparirà semplicemente come un’immagine normale. E poiché gli utenti finali sono abituati a scansionare i codici QR, riceverne uno via mail non è necessariamente motivo di preoccupazione”, ha spiegato Fuchs.
Come proteggersi dal quishing
Come per ogni caso di phishing ci sono alcune regole da seguire per evitare di cadere nel tranello degli hacker. Per prima cosa non scansionare mai un QR Code se arriva da uno sconosciuto, non condividere i codici di sicurezza o i dati personali, soprattutto i numeri delle carte di debito, credito o i codici di accesso, anche se la grafica è estremamente simile bisogna controllare il mittente del messaggio e il link in allegato, non cliccare sull’indirizzo ma copiarlo nella barra del browser. Una controprova ancora più semplice è controllare se nel testo ci sono errori grammaticali, spesso infatti i messaggi inviati dagli hacker hanno refusi nel testo.
