Un codice da inquadrare sembra innocuo, ma nasconde l'indirizzo finché non lo apri. Come funziona il "quishing" e come difendersi in pochi secondi.
I QR code sono ovunque: sui menu dei ristoranti, sui parcheggi a pagamento, sulle bollette, sugli avvisi affissi negli uffici, nelle email che chiedono di "verificare l'account". Inquadrarli è diventato un gesto automatico. Proprio per questo i truffatori li usano sempre più spesso, in una variante del phishing chiamata quishing, da QR e phishing.
Un QR code è soltanto un modo diverso di scrivere un indirizzo web. Il problema è che, a differenza di un link, non si può leggere a occhio: finché non lo apri, non sai dove ti porterà.
I truffatori sfruttano anche altri vantaggi:
Email di lavoro con un codice da inquadrare. "Il tuo account Microsoft scade: scansiona il QR per rinnovare l'autenticazione". Il codice porta a una pagina di accesso falsa, aperta sul telefono personale.
Adesivi sopra codici veri. Su parcheggi, colonnine di ricarica o avvisi pubblici, un adesivo con un codice diverso può sostituire quello originale e portare a una pagina di pagamento contraffatta.
Finte multe e avvisi. Biglietti lasciati sul parabrezza o lettere che invitano a pagare una sanzione tramite QR code.
Documenti modificati. Fatture o comunicazioni in PDF in cui il codice per il pagamento è stato sostituito.
Leggi l'anteprima. Quasi tutti i telefoni, quando inquadri un codice, mostrano l'indirizzo prima di aprirlo. Fermati un secondo e leggilo: il dominio è quello che ti aspetti? Valgono le stesse regole dei link sospetti.
Controlla il supporto. Un adesivo incollato sopra un altro codice, bordi irregolari, un cartello che sembra manomesso sono segnali chiari. Nel dubbio, paga usando l'app ufficiale o il sito che conosci.
Non usare codici ricevuti via email per accedere ad account di lavoro. Nessun servizio aziendale serio chiede di rinnovare la password o l'autenticazione inquadrando un codice. Se ricevi un messaggio del genere, segnalalo all'assistenza informatica.
Non inserire credenziali o dati di pagamento su pagine aperte da un QR code senza aver verificato con cura l'indirizzo. Se possibile, raggiungi il servizio per un'altra strada.
Diffida dell'urgenza. Scadenze imminenti, sanzioni da pagare subito, account bloccati: sono le stesse leve del phishing tradizionale.
Se hai inserito la password di lavoro dopo aver inquadrato un codice sospetto, cambiala subito dal sito vero e avvisa l'assistenza informatica. Se hai inserito dati di una carta, chiama la banca per bloccarla. Come per ogni phishing, la velocità conta più dell'imbarazzo.
Un QR code non è più affidabile di un link: è solo più comodo da usare e più difficile da leggere. Un secondo di attenzione all'anteprima dell'indirizzo basta a evitare la maggior parte delle trappole.
Una pagina di accesso può essere identica all'originale in ogni dettaglio, tranne uno: l'indirizzo. Come controllarlo in pochi secondi e quali abitudini evitano la trappola.
Gli errori di grammatica non bastano più a smascherarla. Cinque controlli da fare prima di cliccare, validi per ogni casella di posta di lavoro.
Un'email del fornitore annuncia nuove coordinate bancarie e il pagamento successivo finisce ai truffatori. Come funziona lo schema e la verifica che lo blocca.