Inquadrare un codice QR è sicuro? Mito o verità sul quishing

Lo inquadri sul parcometro, sul menu del ristorante, sul volantino di un evento. Un secondo e sei sulla pagina giusta. Il codice QR è diventato un gesto automatico, tanto che pochi si chiedono dove porti davvero. Il mito è semplice: un codice QR è solo un link, quindi inquadrarlo è sicuro.

Verdetto: falso. Il codice in sé non fa nulla di male. Il problema è che non puoi leggerlo: scopri dove ti porta solo dopo averlo aperto. E basta un adesivo per cambiarlo.

Un link che non puoi leggere

Un link scritto in un'email o in un messaggio si può guardare prima di toccarlo: l'indirizzo è lì, e un dominio strano a volte salta all'occhio. Un codice QR, invece, è un quadrato di puntini. Per un essere umano sono tutti uguali: quello del Comune e quello di un truffatore sono indistinguibili.

Per questo il phishing ha trovato nei codici QR una nuova strada. Si chiama quishing, da QR e phishing: lo stesso inganno di sempre, cioè portarti su un sito falso e farti inserire dati che non dovresti dare, ma con la fotocamera al posto del clic.

Il copione della truffa

Le varianti sono tante, ma lo schema si ripete.

• L'adesivo sul parcometro. Un codice falso viene incollato sopra quello vero, con una grafica credibile. Chi deve pagare la sosta lo inquadra, e il telefono apre un sito identico a quello del servizio di pagamento.
• La finta multa sul parabrezza. Un foglietto che sembra un avviso di sanzione invita a pagare subito, magari con uno sconto, inquadrando il codice. La fretta fa il resto.
• Volantini, locandine, avvisi di consegna. Promozioni, pacchi in giacenza, sondaggi con premio: qualsiasi foglio stampato può contenere un codice che porta altrove.

In ogni caso arrivi su una pagina che sembra quella vera: stessi colori, stesso logo, stesso modulo. Cambia solo l'indirizzo. E i dati della carta, alla fine, li inserisci tu. Nessun virus, nessuna intrusione: la truffa funziona perché ti fa fare un gesto normale nel posto sbagliato.

Perché funziona così bene

Il quishing sfrutta tre abitudini. La prima: ci fidiamo del supporto fisico. Un adesivo su un parcometro pubblico sembra ufficiale per il solo fatto di essere lì. La seconda: sul telefono la barra dell'indirizzo è piccola, e spesso nemmeno la guardiamo. La terza: i codici QR si usano proprio quando abbiamo fretta, davanti alla macchina, alla cassa, in coda.

C'è poi un dettaglio che riguarda le aziende. I filtri antispam analizzano bene i link scritti nelle email, ma leggono meno facilmente un codice QR dentro un'immagine o un PDF. Un messaggio che chiede di "verificare l'account" inquadrando un codice può superare i controlli e spostare la persona dal computer aziendale, protetto, al telefono personale, che spesso lo è meno.

Come difendersi

Non serve smettere di usare i codici QR. Servono tre gesti.

1. Leggi l'indirizzo prima di aprirlo. Quasi tutti i telefoni mostrano un'anteprima del link quando inquadri il codice. Guardala: il dominio deve essere quello che ti aspetti, scritto correttamente, senza parole aggiunte.
2. Per la sosta, usa l'app o il sito che conosci già. Se paghi il parcheggio con un'app, aprila tu. Non serve passare dal codice incollato sul palo.
3. Diffida dei codici incollati sopra i cartelli. Un adesivo sovrapposto, un bordo che si stacca, una grafica leggermente diversa: sono segnali da prendere sul serio.

Se hai già inserito i dati della carta su un sito sospetto, chiama subito la banca per bloccarla e controlla i movimenti degli ultimi giorni.

La regola pratica

Prima di pagare, leggi l'indirizzo. Per la sosta, usa l'app che conosci già.

Per le aziende

Il quishing non colpisce solo chi parcheggia in centro: arriva nelle caselle di posta aziendali, nelle sale d'attesa, sui materiali stampati con il vostro marchio. Se generate codici QR per clienti o dipendenti, fateli puntare sempre a un dominio vostro e riconoscibile, e spiegate a tutti come verificarlo. Se li usate per pagamenti, accessi o check-in, il flusso va progettato in modo che un codice falso non possa sostituire quello vero senza che nessuno se ne accorga.

È il tipo di lavoro che facciamo ogni giorno in NEURAFIT: progettiamo app, piattaforme e automazioni pensando anche a come qualcuno potrebbe ingannarle. Se vuoi capire quanto sono esposti i flussi della tua azienda, scrivici a info@neurafit.it: ti risponde direttamente chi sviluppa.