Come proteggerti dal quishing: ferma il phishing tramite codice QR sul nascere
Una scansione rapida. Un piccolo quadrato su un volantino. Una nota urgente "tocca qui" su un ticket del parcheggio. È proprio su questa fiducia istantanea che contano gli aggressori. Il quishing - phishing veicolato tramite codici QR - sembra innocuo, ma può indirizzare un dispositivo attraverso reindirizzamenti nascosti, portare gli utenti su pagine di login false e convincenti, o trasmettere silenziosamente token di tracciamento che causano fughe di dati.
Questo articolo spiega perché i codici QR creano un punto cieco, perché il consiglio "controlla l'URL" spesso non funziona e quali passaggi pratici adottare per ridurre il rischio. La sezione finale spiega come Clean Links rivela la destinazione reale e rimuove il tracciamento prima che una pagina venga aperta.
Perché i codici QR creano un punto cieco
I codici QR eliminano contemporaneamente la digitazione e il contesto.
- Quando un codice viene scansionato, il telefono decodifica i dati e mostra un URL o un'azione. Questo primo URL può essere un punto di snodo: un link breve, un reindirizzamento o una pagina ospitata su cloud che inoltra immediatamente a una destinazione diversa.
- Gli aggressori usano URL shortener e reindirizzamenti a più stadi per nascondere la destinazione finale. Ciò che a prima vista sembra sicuro può trasformarsi in una pagina per il furto di credenziali dopo uno o più reindirizzamenti.
- I codici QR possono essere posizionati ovunque: su poster, menu, posta, adesivi applicati sopra codici legittimi. Questa collocazione fisica li rende persuasivi e facili da usare in modo improprio.
Perché "controlla l'URL" spesso non basta
Dire a qualcuno di "controllare semplicemente l'URL" presuppone alcune cose che in pratica non sono vere:
- L'URL decodificato potrebbe essere a sua volta un reindirizzamento, quindi controllarlo mostra solo il primo passaggio.
- Molti visualizzatori - incluse le app fotocamera predefinite - mostrano il link decodificato ma non seguono l'intera catena di reindirizzamenti né rivelano la destinazione finale finché non si tocca lo schermo.
- Anche se il dominio finale sembra legittimo, possono essere allegati parametri di tracciamento e token di affiliazione. Tali parametri possono abilitare la profilazione o essere usati in flussi di frode, rendendo più difficile capire dove porta realmente una scansione.
In breve: un URL visibile è utile, ma non è tutto.
Il video qui sopra dimostra la differenza fondamentale: l'app Fotocamera di Apple mostra solo il dominio iniziale, mentre Clean Links segue tutti i reindirizzamenti per rivelare la vera destinazione finale prima che tu tocchi lo schermo.
Passaggi pratici per ridurre il rischio
- Tratta i codici QR non richiesti come link sconosciuti. Se qualcosa arriva per posta, su un adesivo o in un luogo inaspettato, evita di scansionarlo.
- Se un'azienda fornisce un codice QR (per menu, biglietti, pagamenti), verifica il codice con il personale o usa l'app o il sito web ufficiale dell'azienda.
- Evita di inserire credenziali su un sito raggiunto tramite un codice QR. Per i servizi importanti, digita manualmente l'indirizzo ufficiale che conosci o usa un segnalibro fidato.
- Preferisci scanner che mostrino un'anteprima della destinazione finale e la catena di reindirizzamenti, anziché solo il primo link decodificato.
Come aiuta Clean Links
Clean Links è progettato per smascherare codici QR e link brevi. Segue l'intera catena di reindirizzamenti e mostra l'URL finale reale prima che la pagina si apra. Mentre la fotocamera dell'iPhone mostra il link decodificato, Clean Links rivela i reindirizzamenti e rimuove i parametri di tracciamento, in modo che la pagina di destinazione e il link che si apre corrispondano alle aspettative. Tutta l'elaborazione avviene localmente sul dispositivo, senza alcuna registrazione esterna.
Clean Links può essere scaricato gratuitamente dall'App Store.
Checklist rapida per proteggersi
- Fermati prima di toccare. Ispeziona l'anteprima dello scanner e il dominio finale.
- Nel dubbio, non inserire password o dati di pagamento.
- Se un link richiede un pagamento urgente o delle credenziali, verifica la richiesta al di fuori del link stesso.
- Imposta uno scanner più sicuro come predefinito se scansioni regolarmente codici QR in luoghi pubblici.
Il quishing ha successo perché sfrutta comportamenti di routine. Un po' di cautela, unita agli strumenti giusti, interrompe la catena dell'attacco. Per chiunque scansioni codici QR anche solo occasionalmente, usare uno scanner che offre un'anteprima e pulisce i link elimina gran parte del rischio.
