Una ricerca ha dimostrato che sempre più spesso il QR Code viene utilizzato per truffare gli utenti e reperire le loro credenziali, parliamo di quishing.
Versione moderna delle truffe che utilizzano internet, il quishing si serve del QR Code per accedere al telefono dell’utilizzatore a partire dalla telecamera. Da qui gli utenti vengono poi ingannati: inseriscono le proprie credenziali e il gioco è fatto.
La truffa del quishing tramite QR Code
Il QR Code è il sistema più avanzato che gli smartphone attuali utilizzano per accedere a siti e informazioni inquadrando semplicemente un insieme di quadratini bianchi e neri disposti all’interno di un rettangolo. Si tratta di un metodo istantaneo e semplice ma nasconde delle insidie.
Anche il mondo delle truffe infatti si è aggiornato e ora è nato il quishing, che ricalca un po’ il phishing, ovvero le truffe realizzate sulla rete internet tramite mail malevole inviate per spingere la vittima a cadere in trappola e home page di siti fasulli dove vengono richieste informazioni a chi naviga. L’intento è quello di portare gli utenti a rivelare dati sensibili come informazioni bancarie e credenziali di accesso.
Il quishing funziona allo stesso modo e sta prendendo piede contemporaneamente alla diffusione del QR Code praticamente ovunque: lo vediamo nei tavoli dei ristoranti in sostituzione dei menù cartacei, nelle vetrine dei negozi, nei cartelloni della pubblicità che tappezzano le strade, nelle reception degli alberghi e via dicendo.
Si inquadra il codice con le apposite app per smartphone (molti le hanno già in dotazione senza il bisogno di installarle) e si reperiscono tutte le informazioni ad esso collegate. Però questo sistema – come tutto ciò che è collegato al mondo di internet – è vulnerabile e sempre più spesso gli hacker violano i QR Code.
Questo tipo di truffe sono aumentate del 587% e il fenomeno si è guadagnato appunto il nome di quishing.
Come agiscono gli hacker
L’allarme arriva dai ricercatori del team Check Point Software e secondo uno di loro, Jeremy Fuchs, gli hacker agiscono creando falsi QR Code che, se inquadrati, rimandano a un sito dove vengono richieste le proprie credenziali, come quelle bancarie.
Questi mosaici bianchi e neri fasulli arrivano via mail e nel testo si legge come sia necessario seguire le istruzioni per accedere ad account temporaneamente bloccati per i più disparati motivi. Anzi spesso le ragioni non vengono svelate proprio per ingannare meglio l’utente.
L’esca è semplice e funzionante perché le immagini, quindi il codice QR, non viene riconosciuto come una minaccia dai programmi antivirus.
“Il panorama degli attacchi hacker è cambiato e allo stesso tempo abbiamo aumentato i criteri di protezione per i QR Code, c’è però ancora molto lavoro da fare perché i movimenti di questi truffatori sono imprevedibili”.
Per proteggersi dal quishing è opportuno non scansionare mai un QR Code che arriva da una fonte sconosciuta e soprattutto, non condividere mai dati personali e sensibili, anche se la grafica che ci appare inquadrando il mosaico sembra realistica e affidabile.
Buona regola è anche controllare il mittente e copiare il link in allegato sulla barra del browser, senza cliccarci sopra. Ancora più semplice è controllare errori grammaticali nel testo, in caso di hacker infatti questi sono presenti nella maggior parte dei casi.
