La truffa del QR code è la nuova frontiera del phishing

Il QRishing, una sofisticata tattica di phishing, ha preso il centro della scena nel panorama delle minacce alla sicurezza digitale. Questa metodologia, sempre più diffusa, sfrutta codici QR dannosi per sottrarre informazioni sensibili, credenziali e persino fondi alle vittime inconsapevoli.

L’aumento straordinario dell’interconnessione attraverso dispositivi mobili e la vasta gamma di attività svolte su di essi sono stati paralleli a un incremento significativo delle truffe che sfruttano questi stessi dispositivi come veicoli. Nel secondo trimestre del 2022, le frodi informatiche mirate ai dispositivi mobili hanno registrato un aumento del 70% rispetto al trimestre precedente[1]. Tra le minacce più insidiose per la sicurezza degli utenti mobile, il QRishing, identificato da esperti come la Confconsumatori in Italia, emerge come una particolare variante di phishing che sfrutta i codici QR.

Il QRishing mira, in sostanza, a raggiungere lo stesso obiettivo del phishing tradizionale: acquisire credenziali o dati sensibili per accedere a conti bancari, portafogli digitali o, più raramente, richiedere un riscatto.

Mentre il phishing tradizionale si basa su link malevoli diffusi tramite email o SMS, il QRishing coinvolge la vittima nell’inquadrare un codice QR specifico.

I quadri neri e bianchi dei codici QR non sono altro che dati codificati che, quando inquadrati con la fotocamera di uno smartphone, reindirizzano l’utente a pagine web specifiche contenenti informazioni variegate: da menu di ristoranti a playlist consigliate per la colazione su Spotify, fino a capitoli extra di libri in formato cartaceo o indirizzi PayPal per pagamenti digitali.

L’utilizzo diffuso dei codici QR, riemersi durante la pandemia come strumenti touchless e sicuri dal punto di vista sanitario, ha contribuito alla loro popolarità in ogni ambito. Tuttavia, le truffe legate a questi codici sfruttano questa popolarità per condurre operazioni di ingegneria sociale di base. Le persone spesso sono spinte dalla curiosità di scoprire ciò che si cela dietro a codici crittografati, specialmente se promettono risparmi economici come sconti e offerte.

In generale, il QR code offre un rapido accesso a pagine web e risorse online, richiedendo solamente una rapida scansione con la fotocamera dello smartphone, risparmiando tempo ed energia.

La probabilità di successo del QRishing è legata alla tendenza delle persone di scannerizzare i codici QR senza esitazione, spinte dalla curiosità di scoprire il loro contenuto.

Per incrementare la probabilità di successo, i truffatori spesso associano i QR dannosi a loghi familiari di marchi fidati. A volte, sovrappongono QR appositamente alterati a quelli originali, utilizzando pellicole adesive.

Così facendo, le vittime del QRishing, credendo di accedere a un menu di un ristorante o a offerte del loro operatore telefonico, finiscono invece su siti malevoli progettati per rubare credenziali e informazioni sensibili.

Non è raro che i siti a cui le vittime approdano dopo aver scannerizzato un QR falso siano progettati per assomigliare a piattaforme bancarie online, inducendo le vittime a effettuare pagamenti non dovuti, trasformando il QRishing in una classica truffa.

Un esempio significativo di QRishing è emerso nel mercato finanziario tedesco[3]. Due importanti istituti finanziari, Sparkasse e Volksbanken Raiffeisenbanken, hanno subito un attacco a dicembre 2021. Gli utenti dei servizi di eBanking hanno ricevuto una comunicazione riguardante una presunta modifica della privacy policy e un QR per modificare le impostazioni di sicurezza. In realtà, il QR reindirizzava a un sito di phishing visivamente identico a quelli delle istituzioni bancarie, consentendo agli attaccanti di accedere facilmente ai conti una volta effettuato il login.

La complessità crescente di queste truffe rende sempre più difficile proteggersi dai tentativi di phishing tradizionale o dal QRishing. Gli utenti, spesso distratti durante le proprie attività online, rappresentano un bersaglio facile per queste minacce sofisticate.

I suggerimenti per difendersi dal QRishing si basano sul miglioramento generale della sicurezza digitale. Prestare attenzione alle fonti di informazioni, ai messaggi, agli allegati e ai codici QR è fondamentale. È essenziale affidarsi solo a fonti ufficiali e verificare l’autenticità dei codici QR, garantendo che siano generati dai legittimi fornitori di prodotti o servizi, possibilmente attraverso app specializzate.

Errori grammaticali, sintattici o problemi di stampa sui codici QR dovrebbero sollevare sospetti. Anche l’utilizzo di QR sovrapposti o link abbreviati richiede particolare cautela, poiché potrebbero essere strumenti per truffe online.

La componente umana rimane un fattore critico nella sicurezza digitale. Essere proattivi nel riconoscere e evitare le minacce e seguire buone pratiche online sono passaggi fondamentali per proteggersi.

Utenti:

Verifica le Fonti: Accertati che i codici QR siano provenienti da fonti affidabili e ufficiali. Assicurati che i codici siano generati direttamente dalle aziende o servizi che li offrono.
Analizza il Contenuto: Sii cauto. Controlla eventuali errori grammaticali, sintattici o discrepanze visive nel QR code stesso. Evita codici QR sovrapposti o link abbreviati non verificati.
Utilizza App di Sicurezza: Scarica app dedicate alla sicurezza che possono identificare e segnalare potenziali minacce o siti non sicuri.
Aggiorna Dispositivi e App: Mantieni aggiornati i tuoi dispositivi e le applicazioni di sicurezza per garantire che siano dotati delle ultime protezioni contro le minacce.

Aziende:

Educazione e Formazione: Fornisci ai dipendenti formazione e informazioni sul riconoscimento e la gestione delle minacce informatiche, compreso il QRishing.
Sicurezza dei QR Code: Se fornisce QR code per i clienti, assicurati che siano generati tramite processi sicuri e verificabili. Considera l’utilizzo di software specializzato per la creazione e la gestione di codici QR sicuri.
Monitoraggio Continuo: Implementa sistemi di monitoraggio per individuare e prevenire attività sospette associate ai QR code, controllando il traffico e le richieste in arrivo.
Politiche di Sicurezza: Sviluppa e attua politiche di sicurezza specifiche che coprano l’uso dei codici QR all’interno dell’azienda e con i clienti esterni.
Aggiornamenti di Sicurezza: Mantieni costantemente aggiornate le misure di sicurezza, adottando sistemi di difesa contro le nuove tattiche di truffa.

L’attenzione, l’educazione e l’utilizzo di strumenti di sicurezza adeguati sono fondamentali per proteggersi da questa forma di truffa.

Ecco come l’acquisto di un corso di formazione in e-learning offerto da Studio Rivelli possa aiutarvi a difendere la vostra azienda dalla truffa del QRishing:

Vantaggi per le Aziende:

Consapevolezza Accresciuta: Acquisire conoscenze approfondite sulle minacce del QRishing per identificarle e prevenirle tempestivamente all’interno dell’azienda.
Migliore Gestione del Rischio: Imparare le migliori pratiche e le strategie di difesa per proteggere i dati sensibili e finanziari dell’azienda dagli attacchi informatici.
Team Più Preparato: Garantire che il personale sia formato e informato, riducendo la probabilità di cadere in truffe tramite QR code dannosi.
Risparmio di Costi: Evitare le conseguenze finanziarie e reputazionali negative derivanti da attacchi di QRishing tramite l’implementazione di misure di sicurezza apprese nel corso.
Crescita della Sicurezza Aziendale: Favorire una cultura aziendale consapevole della sicurezza digitale, promuovendo prassi sicure nell’uso dei QR code.

Implementazione:

Formazione su Misura: I nostri corsi Formalav sono progettati per offrire una formazione mirata alle esigenze specifiche delle aziende, concentrandosi sulla prevenzione dei pericoli informatici.
Risorse Pratiche e Aggiornate: Gli utenti avranno accesso a risorse didattiche aggiornate e pratiche, con casi studio attuali e strumenti concreti per la difesa.
Supporto Continuo: Dopo il corso, gli utenti avranno supporto per chiarire dubbi e ottenere consulenze su misure di sicurezza da implementare all’interno dell’azienda.

Raggiungimento degli Obiettivi:

Protezione Efficace: Acquisendo competenze specializzate, gli utenti possono contribuire attivamente alla protezione dell’azienda da attacchi di QRishing.
Prevenzione Attiva: Sfruttare le conoscenze acquisite per rafforzare le difese e prevenire attivamente le truffe attraverso codici QR dannosi.
Miglioramento della Sicurezza Digitale: Contribuire a una migliore gestione del rischio informatico all’interno dell’azienda attraverso l’applicazione pratica delle conoscenze acquisite.

Acquistando i corsi offerti da Studio Rivelli, gli utenti possono dotarsi degli strumenti necessari per proteggere la propria azienda dalle minaccie sui dati, garantendo un ambiente più sicuro e consapevole riguardo alle potenziali truffe legate ai codici QR e non solo.

Non trovi il corso adatto a te sul notro portale? Contattaci in studio +39 06 886 439 98 e uno dei nostri specialisti sara’ lieto di aiutarti a trovare la soluzione piu’ adatta alle esigenze della vostra azienda!