Che cos'è il QR Phishing? Come individuare e prevenire le truffe con i codici QR

Quishingo codice QR phishingè l'ultima della lunga serie di minacce alla sicurezza informatica. Per quanto possa sembrare ridicolo, è utile esserne consapevoli perché può evitare la perdita di denaro, tempo e reputazione della vostra azienda.

I codici QR sono ovunque: sui menu, sui manifesti stradali, sulle app e sui siti web delle aziende. Sono popolari perché gli utenti possono utilizzare la fotocamera per scansionare il codice QR come un link web per accedere a un sito. 

Se qualcosa è facile per gli utenti, è anche facile da sfruttare per i criminali informatici. Questi malintenzionati utilizzano i codici QR per inoltrare gli utenti a un sito web diverso da quello a cui pensano di andare, aprendo i loro dati personali agli hacker. 

Questo articolo spiega come i criminali informatici sfruttano i codici QR per eseguire attacchi di phishing. Verranno illustrate le tattiche più comuni, gli esempi reali, le strategie di prevenzione e le best practice di cybersecurity.

Che cos'è il QR Phishing (Quishing)?

Il phishing QR (Quishing) si verifica quando gli hacker utilizzano i codici QR per reindirizzare gli utenti a siti dannosi o fraudolenti invece che al sito a cui l'utente pensa di andare quando scansiona il codice. I siti a cui l'utente viene reindirizzato sono siti che i malintenzionati utilizzano per rubare informazioni agli utenti, come credenziali e dati bancari, o per installare software dannoso per rubare altre informazioni. 

Gli attacchi di quishing sono più difficili da individuare rispetto agli attacchi di phishing tradizionali, perché la copia dei codici QR alla ricerca di contenuti dannosi è più complessa della scansione degli URL tradizionali. È quindi più difficile catturare i quisher che i phisher. 

Come funzionano gli attacchi di phishing QR

Sapere esattamente come funziona il QR phishing vi aiuta a capire come combatterlo e a tenere al sicuro i vostri clienti. Per prima cosa, diamo un'occhiata alla ripartizione del Quishing passo per passo e agli scenari di attacco più comuni, in modo da sapere a cosa prestare attenzione.

Ripartizione passo per passo degli attacchi di phishing QR

Esaminiamo come funziona esattamente il Quishing.

Le fasi del Quishing comprendono:

1. Creazione di codici QR dannosi: Gli hacker creano codici QR dannosi che contengono link a siti web fraudolenti che offrono vantaggi agli hacker invece che ai creatori di QR originali. 
2. Inseriti in e-mail, manifesti, siti web e messaggi: I truffatori di QR distribuiscono i loro codici QR e li sovrappongono a quelli originali, in modo che le vittime non si accorgano che stanno scansionando un codice fraudolento. 
3. La vittima esegue la scansione e viene reindirizzata a un sito di phishing o al download di malware: Quando le vittime eseguono questa operazione, è impossibile per loro capire che un codice QR è falso perché non ci sono caratteristiche identificative che li distinguano dagli originali. 

Scenari comuni di attacco di quishing

Molti scenari di attacco si verificano quando i truffatori QR tendono trappole virtuali alle vittime utilizzando i codici QR. 

Alcuni degli scenari più comuni di attacco Quishing includono:

• Pagine di login false (ad esempio, portali bancari, di posta elettronica o aziendali): I truffatori spesso creano pagine di accesso che sembrano quasi identiche agli originali dei siti web che contengono clienti con informazioni sensibili ricercate dagli hacker, come banche o portali aziendali.
• Sondaggi falsi con incentivi: Tutti vogliono fare soldi facili compilando un rapido sondaggio, e i truffatori sfruttano questo desiderio per rubare informazioni. Le vittime cedono al loro bisogno di guadagno compilando i loro dati, che gli hacker ricevono al posto delle aziende legittime.
• Codici QR in false fatture di parcheggio o di pagamento: Avete mai ricevuto un avviso di parcheggio o di pagamento? A molti è capitato, e questi falsi codici QR sfruttano l'urgenza di pagare le bollette o le multe per divieto di sosta per evitare sanzioni o addirittura la prigione. L'urgenza porta allo sfruttamento da parte dei truffatori, che ricevono i dati bancari che utilizzano per rubare il denaro.
• Codici QR falsi nelle applicazioni aziendali: Le aziende non sono immuni dalle truffe QR. I malintenzionati possono sovrapporre il proprio codice QR falso a quello legittimo, ad esempio di un CRM o di un'applicazione per la rilevazione delle presenze dei dipendenti. orologio per i dipendenti per un dispositivo mobile. I truffatori hanno i dati dei dipendenti ed eventualmente l'accesso ai dati aziendali.

Perché il QR Phishing è pericoloso

Il QR phishing sembra cogliere in fallo alcune persone, ma è davvero così pericoloso? La risposta breve è sì. 

Il quishing può costare alle vittime milioni di dollari all'anno perché è difficile da individuare. Le persone si fidano dei codici QR, i dispositivi mobili hanno una sicurezza più debole e gli hacker trovano facile superare i tradizionali filtri di sicurezza delle e-mail, che non hanno il profilo di progettazione adatto a proteggere da questa generazione di hacker. 

Il costo del crimine informatico globale ha raggiunto i 9,22 trilioni di dollari e probabilmente aumenterà a causa dell'introduzione di nuovi crimini informatici come lo sQuishing. Attualmente questo fenomeno sta costando alle aziende e ai clienti ingenti somme di denaro, per cui vale la pena di adottare misure per prevenirlo.

Un esempio reale di attacco di phishing via QR

Una cosa è imparare a conoscere gli attacchi di Quishing, ma è solo quando si sente il modo in cui ha avuto un impatto sulle aziende. aziende e comunità e comunità con esempi reali. Il primo di questi esempi riguarda uno sfortunato individuo che ha perso 17.000 dollari.

La vittima perde 13.000 sterline a causa di truffatori QR

Nel novembre 2023, una sfortunata signora di 71 anni di Newcastle, in Inghilterra, è stata vittima di una truffa con codice QR, che ha portato a un'ingente perdita di 17.000 dollari. $17,000. Il malintenzionato realizza la truffa sovrapponendo il falso codice QR a quello ufficiale su un cartello di parcheggio.

All'inizio sembrava che il denaro della signora fosse al sicuro, perché quando ha inserito i suoi dati bancari nel sito fraudolento, la sua banca ha bloccato la transazione. Purtroppo, i truffatori hanno utilizzato un'altra tecnica: si sono finti personale bancario e hanno incoraggiato con successo la signora a sottoscrivere un prestito di 9.500 dollari. Il malintenzionato ha quindi agito rapidamente, cambiando le coordinate bancarie, ottenendo nuove carte e creando un conto online. 

Il risultato dell'amministrazione locale è stato quello di rimuovere tutti i codici QR da ogni singolo parcheggio del TransPennine Express.

Questi incidenti possono avere un impatto sulle persone per molti anni dopo il loro verificarsi, poiché è una sfida enorme recuperare risparmi per migliaia di euro, come vediamo nell'esempio precedente. 

Come proteggersi dal QR Phishing

Le truffe di phishing QR sono subdole e difficili da individuare. La buona notizia? È ancora possibile prevenirle. 

Seguite queste best practice e misure tecniche di sicurezza per proteggere voi e la vostra organizzazione dagli attacchi di QR phishing:

Consapevolezza dell'utente e migliori pratiche

In primo luogo, è necessario verificare sempre le fonti dei codici QR. È possibile utilizzare un'app speciale per farlo, ma i truffatori di QR sono subdoli, quindi assicuratevi che l'app di verifica QR sia reale prima di installarla e utilizzarla, perché i truffatori possono creare anche app false per accedere ai vostri dati. 

Inoltre, utilizzate le app che scansionano i codici QR prima di aprire i link. Questa best practice impedisce di aprire i link quando non si è sicuri della direzione da prendere. 

Infine, se avete dubbi su una fonte, non scansionate un codice QR e verificatelo prima di scansionarlo. 

Misure di sicurezza tecniche

Se siete un'organizzazione, e in particolare un'impresa, avete molto più da perdere rispetto alla maggior parte degli individui, come ad esempio dati dei dipendenti dati dei dipendenti, milioni di dollari e danni irreparabili alla reputazione dell'azienda.

Implementate l'autenticazione a più fattori (MFA) per i login per evitare gli attacchi di phishing QR. Questo metodo prevede l'invio di un codice al telefono dell'utente ogni volta che desidera accedere, impedendo ai truffatori di codici QR un ulteriore livello di sicurezza.

Il secondo approccio dovrebbe consistere nell'utilizzare soluzioni di cybersecurity dotate di funzioni per il rilevamento delle truffe di phishing QR. Questa funzione vi terrà al sicuro da questa minaccia. 

Infine, offrire una formazione che aiuti i dipendenti a conoscere le minacce di social engineering, come le truffe di QR phishing, in modo che possano individuarle ed evitarle efficacemente. 

Nota finale

Il QR phishing è pericoloso perché può costare ai singoli, causare danni ai dati e danneggiare la reputazione dell'organizzazione. 

È difficile scoprire le truffe di phishing tramite QR rispetto alle truffe di phishing tradizionali, perché i codici QR sono più complessi e più difficili da scansionare per verificarne la legittimità. Fortunatamente, per ridurre questi attacchi, è possibile adottare alcune misure di sicurezza, come le app di pre-scansione dei QR, l'autenticazione a più fattori e la formazione dei dipendenti sulle minacce di social engineering.

Se seguite queste misure e pratiche, potete evitare la maggior parte delle minacce di QR phishing e proteggere i vostri dipendenti e voi stessi dalla perdita di denaro.

• Informazioni su
• Ultimi messaggi

Ahona Rudra

Esperto di sicurezza dei domini e delle e-mail presso PowerDMARC

Ahona è la Marketing Manager di PowerDMARC, con oltre 5 anni di esperienza nella scrittura di argomenti di cybersecurity, specializzata in sicurezza dei domini e delle e-mail. Ahona ha conseguito una laurea in Giornalismo e Comunicazione, consolidando la sua carriera nel settore della sicurezza dal 2019.

Ultimi messaggi di Ahona Rudra (vedi tutti)

• Studio di caso DMARC MSP: ImpactQuill migliora la sicurezza e la visibilità delle e-mail per i clienti con PowerDMARC - 23 maggio 2025
• Studio di caso DMARC MSP: 1-MSP migliora la sicurezza dei clienti e l'identità del marchio con PowerDMARC - 19 maggio 2025
• Requisiti del mittente Microsoft applicati - Come evitare i rifiuti 550 5.7.15 - 30 aprile 2025