Che cos’è il quishing? Come riconoscere il quishing ed evitare problemi

Sei seduto su una terrazza e scansioni un codice QR per vedere il menu. Oppure sei a un parchimetro e paghi tramite codice QR. Forse ricevi una lettera o un’e-mail con un codice per “sistemare rapidamente qualcosa”. Sembra normale e conveniente. Ed è proprio questo che rende il quishing così efficace.

Che cos’è il quishing e come funziona?

Il quishing è una combinazione delle parole phishing e QR. Invece di cliccare su un link, scansioni un codice QR che ti indirizza a un sito web.

L’obiettivo è lo stesso del phishing: indurti a inserire dati, effettuare un pagamento o scaricare qualcosa. La differenza è che avviene tramite un percorso che per molte persone sembra più affidabile.

Un codice QR è spesso visto come pratico e sicuro. Scansioni e vai avanti. Ma dietro quel codice può esserci facilmente un sito web falso, proprio come dietro un normale link.

Perché il quishing è pericoloso?

Il quishing è pericoloso perché sfrutta la fiducia e la velocità.

I codici QR si trovano spesso in ambienti familiari, come ristoranti, negozi, parchimetri o comunicazioni ufficiali. Di conseguenza, le persone sono meno attente. In queste situazioni non ti aspetti subito una truffa.

Inoltre, un codice QR viene scansionato rapidamente. Agisci in modo automatico, senza verificare prima dove verrai indirizzato. Ed è proprio questo che i truffatori sfruttano.

Il rischio maggiore è che non puoi vedere immediatamente l’URL dietro il codice QR. Con il phishing tradizionale, le persone sono diventate più attente a link sospetti e indirizzi web insoliti. Spesso è proprio in quel momento che la truffa viene scoperta. Con il quishing, questo momento di verifica manca, perché scansioni prima e solo dopo vedi dove arrivi.

I truffatori sfruttano questo aspetto inserendo codici QR in ambienti offline e affidabili. Pensa a adesivi, poster, lettere o cartelli sul posto. Poiché sembra qualcosa di fisico e reale, viene considerato più affidabile.

Il risultato può essere che finisci su un sito falso, inserisci i tuoi dati, effettui un pagamento errato o scarichi qualcosa di non sicuro.

Quali forme di quishing sono più comuni?

1. Quishing tramite e-mail e SMS
Ricevi un messaggio, ad esempio da una banca, un corriere o un ente governativo, con un codice QR. Il messaggio sembra credibile, ma il codice ti porta a un sito falso.

2. Quishing in luoghi pubblici e affidabili
I codici QR su parchimetri, tavoli di ristoranti, banconi o poster vengono sostituiti o coperti. Poiché ti fidi del luogo, è più probabile che tu scansioni senza ulteriori controlli.

3. Quishing tramite lettere o pacchi
Ricevi una lettera o un pacco con un codice QR per “ulteriori informazioni” o “conferma”. Sembra ufficiale, ma può essere una trappola.

4. Quishing che richiede azione immediata
Dopo la scansione ti viene chiesto di agire subito, ad esempio effettuando un pagamento, accedendo o confermando un account. Hai poco tempo per riflettere, ed è proprio questo l’obiettivo.

Come puoi riconoscere il quishing?

Non sempre puoi riconoscere il quishing a prima vista. È proprio questo che rende questa forma di truffa così ingannevole. Un codice QR sembra generalmente innocuo ed è spesso utilizzato in situazioni normali e affidabili. Di conseguenza, molte persone sono meno critiche rispetto a quando vedono un link in un’e-mail o in un SMS.

Tuttavia, spesso ci sono segnali che qualcosa non va. A volte si trovano nella situazione stessa, altre volte nel sito web che raggiungi dopo la scansione. La cosa più importante è abituarti a non continuare automaticamente dopo aver scansionato un codice QR. Fermarti un attimo per controllare può fare la differenza.

Presta particolare attenzione a questi segnali:

• Codici QR inaspettati: ricevi un codice QR senza averlo richiesto o previsto.
• Un ambiente familiare ma sospetto: ad esempio un adesivo sopra un altro codice QR o un codice applicato male.
• Azione immediata dopo la scansione: ti viene chiesto subito di pagare, accedere o inserire dati personali.
• Un sito web insolito: l’URL sembra strano o la pagina è diversa da quella che ti aspetti.
• Errori nel branding e design scadente: come errori linguistici, logo errato, colori diversi o una pagina poco professionale.
• Senso di urgenza o pressione: ti senti spinto ad agire rapidamente senza verificare.
  

Come puoi proteggerti dal quishing?

Non scansionare automaticamente, ma consapevolmente
Fermati un momento prima di scansionare, soprattutto in situazioni che sembrano molto normali o molto semplici.

Controlla sempre dove vieni indirizzato
Verifica l’URL prima di inserire o confermare qualsiasi cosa.

Fai attenzione quando condividi informazioni sensibili
Le organizzazioni ufficiali generalmente non ti chiedono di fornire dati sensibili tramite un codice QR, come dati di accesso, informazioni di pagamento o dati personali. Se ciò accade, fai molta attenzione. In molti casi puoi considerarlo un tentativo di truffa.

Vai direttamente al sito ufficiale
Digita manualmente l’indirizzo web o utilizza l’app dell’organizzazione invece di scansionare un codice QR da un messaggio o da un adesivo.

Presta più attenzione negli ambienti affidabili
È proprio qui che il quishing viene utilizzato sempre più spesso, perché le persone sono meno sospettose.

Utilizza una protezione aggiuntiva durante la navigazione
Software di sicurezza può aiutarti rilevando siti pericolosi, link sospetti e download dannosi, avvisandoti in tempo. Questo ti aiuta a evitare di finire inconsapevolmente su un sito falso o installare qualcosa di non sicuro.

Alcuni pacchetti di sicurezza fanno un passo in più. Prodotti come McAfee Total Protection, McAfee+ Premium e McAfee+ Advanced includono uno scanner di codici QR integrato che verifica se un codice QR è sicuro prima di aprirlo.

Se non sei sicuro che qualcosa sia andato storto, puoi verificare rapidamente se il tuo dispositivo è ancora sicuro con una scansione di sicurezza.

Cosa devi fare se hai già scansionato?

Fermati subito e non continuare sul sito
Hai notato qualcosa di strano dopo aver scansionato un codice QR? Non continuare sul sito. Non cliccare nulla, non inserire dati e chiudi immediatamente la pagina. Più a lungo rimani, maggiore è il rischio di compiere un’azione dannosa.

Cambia subito le password
Hai inserito dei dati? Cambia immediatamente le password, soprattutto se utilizzi la stessa password in più servizi.

Contatta la tua banca in caso di pagamenti
Hai effettuato un pagamento? Contatta subito la tua banca per limitare i danni.

Controlla il tuo dispositivo con una scansione di sicurezza
Hai scaricato qualcosa o non sei sicuro di cosa sia successo? Esegui una scansione di sicurezza per verificare se il tuo dispositivo è sicuro.

Controlla account e attività
Verifica i tuoi account per attività insolite e attiva misure di sicurezza aggiuntive, come l’autenticazione a due fattori (2FA).

Come puoi evitare di diventare vittima del quishing?

Adottando una semplice abitudine: non scansionare automaticamente, pensa prima. Controlla dove vieni indirizzato, sii critico rispetto alla situazione e utilizza una protezione aggiuntiva come rete di sicurezza. In questo modo rendi la vita molto più difficile ai truffatori.

Domande frequenti sul quishing