Come proteggersi dal quishing: ferma il phishing QR

Una scansione rapida. Un piccolo quadrato su un volantino. Un avviso urgente "tocca qui" su una multa per il parcheggio. Quella fiducia di una frazione di secondo è esattamente ciò su cui contano gli aggressori. Il quishing - phishing tramite codici QR - sembra innocuo, ma può guidare un dispositivo attraverso reindirizzamenti nascosti, portare gli utenti su pagine di accesso false ma convincenti, o passare in silenzio token di tracciamento che fanno trapelare dati.

Questo articolo spiega perché i codici QR creano un punto cieco, perché "controlla solo l'URL" spesso non basta, e quali passi pratici riducono il rischio. La sezione finale spiega come Clean Links mostra la destinazione reale e rimuove il tracciamento prima che una pagina venga aperta.

Perché i codici QR creano un punto cieco

I codici QR eliminano digitazione e contesto nello stesso momento.

• Quando un codice viene scansionato, il telefono decodifica i dati e mostra un URL o un'azione. Quel primo URL può essere un punto di passaggio - un link breve, un redirector, o una pagina ospitata nel cloud che inoltra subito a una destinazione diversa.
• Gli aggressori usano shortener e reindirizzamenti a più passaggi per nascondere la destinazione finale. Quello che a prima vista sembra sicuro può diventare una pagina per rubare credenziali dopo uno o più reindirizzamenti.
• I codici QR possono essere messi ovunque: poster, menu, volantini postali, adesivi applicati sopra codici legittimi. Questa presenza fisica li rende convincenti e facili da abusare.

Perché "controlla l'URL" spesso non basta

Dire a qualcuno di "controllare solo l'URL" presuppone alcune cose che nella pratica non sono vere:

1. L'URL decodificato può essere a sua volta un redirector, quindi controllarlo mostra solo il primo passaggio.
2. Molti visualizzatori - incluse le app Fotocamera predefinite - mostrano il link decodificato ma non seguono l'intera catena di reindirizzamenti né rivelano la destinazione finale finché non tocchi.
3. Anche se il dominio finale sembra legittimo, possono essere allegati parametri di tracciamento e token affiliati. Quei parametri possono abilitare la profilazione o essere usati in flussi di frode, rendendo più difficile capire dove porta davvero una scansione.

In breve: un URL visibile è utile, ma non è il quadro completo.

Il video qui sopra mostra la differenza critica: l'app Fotocamera di Apple mostra solo il dominio iniziale, mentre Clean Links segue tutti i reindirizzamenti per rivelare la vera destinazione finale prima che tu tocchi.

Passi pratici per ridurre il rischio

• Tratta i codici QR non richiesti come link sconosciuti. Se qualcosa arriva per posta, su un adesivo, o in un luogo in cui non te lo aspettavi, evita di scansionarlo.
• Se un'attività fornisce un codice QR (menu, biglietto, pagamento), verifica il codice con il personale o usa invece l'app o il sito ufficiale dell'attività.
• Evita di inserire credenziali su un sito raggiunto da un codice QR. Per i servizi importanti, digita manualmente l'indirizzo ufficiale conosciuto o usa un segnalibro affidabile.
• Preferisci scanner che mostrano in anteprima la destinazione finale e la catena di reindirizzamenti, invece del solo primo link decodificato.

Come aiuta Clean Links

Clean Links è pensata per smascherare codici QR e link brevi. Segue l'intera catena di reindirizzamenti e mostra il vero URL finale prima che la pagina si apra. Mentre la fotocamera dell'iPhone mostra il link decodificato, Clean Links rivela i reindirizzamenti e rimuove i parametri di tracciamento, così la pagina di destinazione e il link che viene aperto corrispondono alle aspettative. Tutta l'elaborazione avviene localmente sul dispositivo, senza registrazioni esterne.

Clean Links può essere scaricata gratis dall'App Store.

Checklist rapida per proteggerti

• Fermati prima di toccare. Controlla l'anteprima dello scanner e il dominio finale.
• Nel dubbio, non inserire password o dettagli di pagamento.
• Se un link richiede un pagamento urgente o credenziali, verifica la richiesta al di fuori del link.
• Imposta uno scanner più sicuro come predefinito se scansiona regolarmente codici QR in luoghi pubblici.

Il quishing funziona perché sfrutta comportamenti abituali. Un po' di attenzione insieme agli strumenti giusti interrompe la catena di attacco. Per chiunque scansioni codici QR anche solo ogni tanto, usare uno scanner che mostra l'anteprima e pulisce i link elimina gran parte del rischio.