QRishing: LA NUOVA TRUFFA CON IL QR CODE
L’espressione QR Code ovvero “Quick Response Code” significa “codice a risposta veloce” e rappresenta una matrice che porta con sé specifiche informazioni. Può essere considerato l’evoluzione del più noto codice a barre ma, in questo caso, una volta scansionato con uno smartphone, il QR Code apre le porte a siti web e contenuti multimediali.
Il QR Code può anche essere utilizzato per effettuare pagamenti tramite App. Tale diffusione li ha resi interessanti anche per i cyber-criminali che hanno dato vita a una nuova tipologia di frode detta QRishing, tecnica mutuata dal Phishing, che usa come veicolo per truffare le vittime il QR Code.
I codici QR, non mostrando l’URL della pagina web di destinazione, permettono ai criminali cyber di nascondere i link delle loro truffe all’interno della tipica immagine quadrata.
Tuttavia, se per gli attacchi email esistono già diversi sistemi di sicurezza dedicati, lo stesso non sembra valere per il QRishing, pratica meno conosciuta e investigata. Inoltre, i browser utilizzati durante la navigazione via smartphone, spesso non impiegano le stesse tecniche di sicurezza dei browser desktop, come ad esempio la possibilità di confrontare una URL con una lista nera, e questo aumenta considerevolmente il livello del rischio.
Ecco come vengono diffusi falsi codici QR per truffarci:
- Incollati con una guaina trasparente sopra ai codici originali. Questa tecnica si verifica soprattutto in luoghi considerati sicuri dalle vittime.
- Accompagnati da brand di aziende note. Per ingannare gli utenti l’hacker utilizza un codice malevolo che menziona un marchio reale, simulando una pubblicità.
- Usando i buoni sconto: sfruttando il fatto che gli utenti sono molto più propensi ad aprire i codici QR che offrono sconti, i criminali inseriscono codici malevoli in finti buoni a nome dei principali marchi online.
Purtroppo, quando un utente viene indirizzato tramite QR Code malevolo a una pagina che richiede le sue credenziali, potrebbe non essere in grado di riconoscere facilmente la truffa: dunque vi presentiamo qualche suggerimento per aumentare l’attenzione ogni qualvolta utilizzate questi codici.
- Osservare il formato dei codici QR: il principale attacco QRishing viene fatto incollando sopra un codice QR originale uno fasullo.
- Chiedersi chi ha generato quel codice QR: codici generati da applicazioni sicure, che svolgono una specifica funzionalità e non portano a siti in cui vengono richieste informazioni personali sono certamente meno pericolosi di codici esposti pubblicamente, nel mondo fisico o virtuale, che portano a siti in cui viene richiesto l’inserimento di informazioni personali
- Prestare attenzione ad URL abbreviati: Se si utilizza un browser mobile, attraverso cui non è possibile fare un controllo, è meglio evitare di aprirli.
- Installare applicazioni di sicurezza: a differenza dei browser desktop, che chiedono all’utente se vuole entrare in siti non sicuri, i browser mobili di solito non lo verificano. Tuttavia, alcune applicazioni di sicurezza come gli antivirus, potrebbero aiutarci ad attivare i giusti controlli.