⚠️ QUISHING: l'attacco TRAMITE QR CODE

Immaginate di uscire da un supermercato di Manchester un pomeriggio di settembre del 2024 con le borse della spesa in mano. A un certo punto vi accorgete di un volantino, un foglio A4 stampato alla buona con una scritta in stampatello che dice: se ti chiami Emily e il tuo ragazzo è uscito ieri sera, ti ha tradita, ecco le prove. Sotto c'è un QR code che a quanto pare rimanda a foto scottanti. Voi non vi chiamate Emily e probabilmente non conoscete nessuna Emily. Non resistete però alla curiosità di sapere cosa è e di immergervi in un po' di gossip. Quindi tirate fuori il telefono e scansionate il QR code. Finite su un sito dove non ci sono foto o video di tradimenti. Il QR porta al sito di Prograd, un'azienda britannica rivolta a studenti e ragazzi che ha fatto una furba e un po' scorretta operazione di marketing, con tanto di tracciamento per capire da quale volantino è arrivata la scansione. In pratica volevano solo farsi pubblicità. Per fortuna si trattava solo di questo, ma a voi è rimasta addosso una brutta sensazione. Avete capito che i QR code non sempre vi mandano dove promesso. Siete appena stati vittime di quishing. Ciao a tutti e benvenuti in questo nuovo video in cui parleremo di quishing, una nuova tecnica di attacco basata proprio sulla scansione di QR code. Voglio iniziare con un appello rivolto ai ristoranti: ridateci i menù cartacei. Lo so che i siti interattivi vi rendono più semplice modificare il menù. Lo so che è più igienico e che vi aiuta a spendere meno, ma è inutile che sostituiate i menù cartacei se poi mi ritrovo a cenare in una cantina senza connessione a internet e siamo tutti costretti a passarci di mano in mano il cellulare di uno dei commensali, che per sua fortuna come operatore ha Poste Mobile. E non si sa come sia possibile, ma quello prende. Era ora che qualcuno ve lo dicesse. A parte gli scherzi, i QR code sono diventati ormai piuttosto invasivi nella nostra vita di tutti i giorni. E come ogni tecnologia, tecnologia moderna e innocua che si rispetti, i malintenzionati non ci hanno messo molto a capire che anche questi potevano essere sfruttati per compiere qualche tipo di attacco. Partiamo proprio dall'oggetto di cui parleremo oggi. Il QR code nasce nel 1994 all'interno della Denso Wave, un'azienda del gruppo Toyota che aveva bisogno di etichettare i componenti lungo le linee di produzione con qualcosa di più strutturato rispetto al classico codice a barre. Il codice a barre infatti si legge in una sola direzione e contiene pochi caratteri. Serviva qualcosa che si potesse leggere in più direzioni e contenere molti più dati. Viene ideato quindi un piccolo codice quadrato formato da quadratini neri e spazi bianchi, più adatto quindi al loro scopo. Ma com'è fatto un QR code? Non so se ve ne siete mai accorti, ma ogni QR code ha 3 quadrati grandi agli angoli. Ogni quadrato ha una proporzione fissa di bianco e nero. La parte centrale, per esempio, quella nera, deve essere 3 volte più grande rispetto allo spessore della parte bianca intorno. Questi 3 quadrati servono a far riconoscere immediatamente a una fotocamera come quella del telefono che si è davanti a un QR code. Il telefono infatti vede questi 3 quadrati in una sequenza specifica e capisce immediatamente 2 cose: 1, che in mezzo a questi 3 quadrati c'è un codice da leggere, e 2, come deve leggerlo. Perché la grandezza e la posizione dei 3 quadrati gli fanno capire il verso del QR code, dove e dove finisce. A quel punto il telefono tratta il codice come un foglio a quadretti. Ogni quadretto si chiama modulo e vale 1 se è nero e 0 se è bianco. Un QR code può avere varie dimensioni. I più piccoli sono fatti da 21 moduli per lato, ma possono arrivare anche a 177. Il telefono legge il QR code partendo dall'angolo in basso a destra e salendo a zigzag lungo una colonna larga 2 moduli, poi scende lungo quella accanto, poi risale ancora, facendo un giro che assomiglia a quello di un Roomba quando pulisce casa. In sostanza noi noi non lo capiamo, ma loro lo capiscono e va bene così. I primi quadratini all'angolo dicono se il contenuto del QR code è un link, un testo, una serie di numeri o altro. In questo modo il telefono sa come deve interpretare tutto il resto del codice. Poi c'è appunto il codice in sé e a contorno vengono messi quelli che vengono chiamati byte di controllo, che senza stare ad annoiarvi servono a permettere al telefono di interpretare correttamente il QR code anche se è sporco o coperto da qualcosa. Un telefono può leggere un il codice, anche se il 30% del codice è coperto. Motivo per cui molte aziende e servizi mettono decorazioni, loghi o altro al centro del codice. È una parte che, anche se manca, non impedisce la lettura. Se non riesce a vedere il contenuto vero e proprio, può almeno dedurlo dai byte di controllo. Tutto questo lavoro dura una frazione di secondo. Non a caso si chiama QR code, dove QR sta per Quick Response, risposta rapida, proprio perché la decodifica dura pochissimo. Alla fine della lettura il telefono converte il codice in una semplice stringa di testo e si comporta di conseguenza. Se è un link, apre una pagina web. Se si tratta di una condivisione di rete wireless, propone di collegarsi a un Wi-Fi. Se è semplice testo, lo copia negli appunti, oppure può preparare un SMS, avviare una telefonata, aprire un'app e così via. I malintenzionati hanno capito subito come sfruttare questa situazione. Mentre noi siamo più o meno in grado di capire dove ci porta un link, perché quantomeno possiamo leggerlo, non siamo in grado di riconoscere al volo un QR code malevolo. Dobbiamo per forza interagire con lui per scoprire dove porta. La prima volta in cui si capisce che il QR code poteva essere sfruttato anche per scopi malevoli risale al novembre 2010, quando un gruppo di ricercatori presenta uno studio intitolato QR Code Security. Tra gli scenari descritti c'è proprio l'esempio di un attaccante che stampa un QR code malevolo e lo incolla sopra quello di un cartellone pubblicitario. La cosa lì per lì non viene presa troppo sul serio, ma semplicemente perché in quel momento i QR code erano usati pochissimo, quindi non sembrava una minaccia reale e attuale. L'anno dopo gli scettici vengono immediatamente smentiti. Nel settembre 2011 l'azienda di sicurezza Kaspersky segnala una nuova tecnica di attacco in cui dei QR code erano stati usati per distribuire malware. Inquadrando il codice si scaricava quindi del malware e oltre a questo si scaricava anche una finta versione di Jim, una chat abbastanza diffusa all'epoca. Questa versione finta usava il telefono della persona per mandare di nascosto SMS a dei numeri a pagamento, che quindi guadagnavano da ogni messaggio ricevuto. Il fenomeno a questo punto inizia a essere studiato in modo più approfondito. Nel 2014 una rassegna scientifica prova a fare un esperimento sul campo diffondendo dei QR code per vedere chi li avrebbe scansionati. Non solo moltissime persone li scansionano, ma l'85% di chi lo aveva fatto aveva anche aperto il link, pur non sapendo di preciso dove portava. Nella rassegna questo fenomeno viene chiamato QR phishing, da QR più phishing, ma con il tempo è diventato appunto quishing. Fino al 2020 questa tecnica di attacco rimane comunque molto limitata, al di là di qualche notizia sul giornale. La pandemia dà una grande accelerata alla cosa, con i ristoranti che per motivi igienici non volevano far girare menù fra più clienti, il famigerato Green Pass e così via. La cosa peggiore è che da quel momento noi ci siamo abituati a scansionare un QR code quando ne vediamo uno, in modo quasi automatico. Per ordinare scansiono il QR code, inquadriamo e scansioniamo. Per pagare il parcheggio scansiono il QR code, inquadriamo e scansioniamo. E tutte le volte che facciamo qualcosa senza riflettere troppo, apriamo uno spiraglio per i malintenzionati. Nel 2021 la polizia di San Antonio in Texas avvise i cittadini che sui parcometri pubblici sono comparsi adesivi con QR code fraudolenti che portano a un finto servizio di pagamento della sosta. Il sito sembrava legittimo e accettava il pagamento solo che i soldi finivano non nei conti dell'app dei parcheggi, ma nei conti degli attaccanti. La situazione degenera al punto che interviene persino l'FBI con un proprio allarme nazionale. E questo non è neanche il peggior caso di QR code fraudolenti nei parcheggi. Aspettate di sentire il caso della prossima settimana, in cui parleremo della rete dietro ai finti QR code britannici. Gli attaccanti nel frattempo si fanno creativi. Nel maggio 2023, a Singapore, una donna di 60 anni vede sulla porta di un negozio di bubble tea un adesivo che promette un tè gratis in cambio della compilazione di un sondaggio. Inquadra il codice che la porta a scaricare un'app che sembra quella del sondaggio e che chiede una serie di permessi che la donna dà senza pensarci troppo. L'app in realtà era malevola e con il negozio di bubble tea non c'entrava nulla. Si trattava di un malware che aveva preso il controllo del dispositivo e che una notte, sfruttando i permessi che gli erano stati concessi, è riuscito a sottrarle dal conto circa $20.000 del Singapore. Sempre nel 2023 partono campagne di attacchi anche contro le aziende che ricevono mail che sembrano avvisi di sicurezza di Microsoft e chiedono di aggiornare le impostazioni dell'autenticazione a due fattori entro 48 ore con un QR code da inquadrare per far prima. In questo modo chi lo scansionava autorizzava i dispositivi dei malintenzionati come fidati e quindi questi potevano entrare nei servizi Microsoft dei dipendenti dell'azienda sfruttando il fatto che il controllo dell'autenticazione a più fattori arrivava direttamente a loro, non ai dipendenti. Nel giro di poco questa tecnica ha assunto dimensioni anche statali. L'8 gennaio 2026 l'FBI ha pubblicato un avviso dedicato a Kimsuki, un gruppo di spionaggio informatico noto per essere alle dipendenze dei servizi segreti nordcoreani. L'avviso parla di 4 episodi diversi successi tutti fra maggio e giugno 2025. Come prima cosa gli attaccanti si erano finti dei consulenti stranieri e avevano scritto al vertice di un think tank per chiedere un parere sugli sviluppi della penisola coreana, con un questionario raggiungibile ovviamente tramite QR code. Poco dopo, spacciandosi per un dipendente di un'ambasciata, avevano chiesto a un ricercatore senior un contributo sui diritti umani in Corea del Nord e gli avevano offerto l'accesso a un'area riservata, sempre attraverso un QR code. Il terzo passaggio consisteva in un messaggio che sembrava provenire dal personale di un think tank. E a giugno, infine, una società di consulenza strategica aveva ricevuto l'invito a una finta conferenza con un QR che portava a una pagina di registrazione in cui inserire le proprie credenziali di Google. Tutti questi episodi in un modo o nell'altro erano volti a rubare delle credenziali, non di persone comuni, ma di qualcuno che per lavoro maneggia informazioni di portata internazionale sui rapporti diplomatici e così via. Un aspetto tipico degli attori nordcoreani è proprio quello di puntare più alle informazioni che al denaro in sé. Lo stesso gruppo, fra l'altro, aveva usato i QR code anche in attacchi contro utenti comuni in Corea del Sud. Nel settembre 2025 sono stati scoperti infatti dei siti che imitavano un noto corriere coreano. Venivano inviate mail con l'invito a collegarsi al sito e da lì a scansionare un QR code per continuare dal telefono, in modo da installare un modulo di sicurezza che in realtà è uno spyware, un malware progettato apposta per registrare tutto quello che succede nel telefono e che può anche attivare microfono e telecamera. Contro gli utenti comuni ovviamente si rivolgono anche anche i falsi QR code attaccati in giro per strada, che nella migliore delle ipotesi sono maldestri tentativi di marketing, ma spesso sono veri e propri attacchi di phishing. A una signora inglese di 71 anni, per dirvi, un QR code nel 2023 ha portato via tutti i risparmi. Lei aveva parcheggiato vicino a una stazione e aveva visto che doveva pagare passando da un QR code. L'aveva scansionato e aveva inserito i dati della propria carta. La banca in quel momento blocca alcune operazioni, ma lei riceve una chiamata da finti operatori bancari che le chiedono altri dati per apparentemente mettere in sicurezza il conto. Grazie a queste informazioni, i truffatori sono riusciti a cambiare l'indirizzo associato al conto, a farsi spedire nuove carte e ad aprire a nome della signora anche un prestito da 7.500 sterline. Fortunatamente, la banca alla fine ha annullato il prestito e le ha rimborsato le operazioni fraudolente, ma queste cose capitano molto più spesso di quello che pensiamo. Anche in Italia abbiamo avuto i nostri casi, non crediate. Il primo è successo a Milano alla fine di novembre, sempre del 2023, l'anno proprio di punta per il quishing, quando un automobilista ha trovato sul parabrezza dell'auto un foglio con il logo del comune con una sanzione per aver parcheggiato dove non poteva. La sanzione era di 25 euro, ma si poteva pagare in misura ridotta, 12,50 euro, se si pagava subito. Per pagare subito, neanche a dirlo, si doveva passare da un QR code che rimandava pagina simile al sito della Polizia di Stato, ospitata però su un dominio ucraino, dove si poteva pagare con carta o con PayPal. L'automobilista si è accorto che qualcosa non tornava e ha avvisato la polizia locale, che ha aperto subito un'indagine scoprendo che era già successo parecchie volte anche in zone limitrofe. Questi sono solo alcuni esempi, ma abbiamo capito che di casi di phishing ne sono successi già tantissimi e la situazione non può che peggiorare. Quindi dobbiamo chiederci: come possiamo difenderci? Partiamo dall'ipotesi in cui il QR code ci arrivi via mail. In questo caso i filtri antispam tradizionali servono a ben poco perché non c'è un link da controllare, c'è un'immagine che di per sé è innocua. È scansionandola che si capisce se porta a un sito valido oppure no. Ci sono dei servizi che con il riconoscimento delle immagini possono estrarre il link dal QR code, ma oltre a essere un'operazione abbastanza costosa e difficile da applicare a milioni di messaggi, non sempre serve. Anzi, può essere anche controproducente producente. Pensiamo se ci arriva la finta mail di Microsoft con il QR code che rimanda a una pagina reale di Microsoft, che però serve in realtà ad autorizzare il dispositivo dei cybercriminali. Io vedo il QR code e posso anche avere il dubbio che ci sia qualcosa di strano, ma se Gmail stessa mi dice il QR code è sicuro, manda effettivamente a una pagina di Microsoft, puoi procedere, io mi fido. Un altro aspetto delicato, soprattutto per le aziende, è che loro possono acquistare i migliori firewall, antivirus, antispam, fare segregazione della rete, VPN, vietare le USB e tutto. Ma se poi noi usiamo il nostro telefono personale per scansionare il QR code arrivato sulla mail aziendale, abbiamo già girato tutti i protocolli. È per questo che i malintenzionati passano dal QR code. Come ha detto anche l'FBI nell'avviso di qualche mese fa, vogliono obbligarci a passare dal computer aziendale al telefono personale. Vi dico solo che dal 2025 al 2026 i tentativi di phishing si sono quintuplicati, quindi dobbiamo veramente stare attenti. L'unica cosa da fare è attuare tutte le misure che applichiamo già al phishing. Chiediamoci sempre perché sto ricevendo questa mail scritta in questo modo da questo mittente. La mia banca mi manderà davvero un QR code per rispondere a un sondaggio? È davvero necessario che io lo scansioni? Quello che devono fare le aziende è, come sempre, investire nella formazione. Spesso il problema non è dato da dipendenti che fanno dei danni apposta, Semplicemente non hanno nemmeno idea che ci sia una minaccia di questo tipo in giro, che un QR code possa essere malevolo. La consapevolezza è la base di tutto. Per quanto riguarda invece i QR code che magari troviamo in giro, vi direi: se vi promettono che inquadrandolo vedrete le foto di qualcuno che tradisce il fidanzato o la fidanzata, fatevi i cavoli vostri che campate 100 anni. Se volete pagare il parcheggio con la carta e trovate un comodo QR code proprio sul parcometro, passate sempre prima dalle app fatte apposta per i parcheggi come Easy park e simili. Nella mia esperienza non c'è mai bisogno di scansionare nulla. Arrivata al parcheggio, aprite l'app che trova da sola dove siete e da lì pagate. Se dovete scansionare per forza qualcosa, fate prima qualche verifica. Leggete il link che viene fuori quando scansionate il QR code prima di cliccare. Se c'è un numero di assistenza nel parcometro, provate a chiamare. Insomma, valutate bene. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se vi è mai capitato di trovare un QR code sospetto su un parcometro o in una mail. Noi ci rivediamo la prossima settimana con il caso più incredibile che esista su questo argomento. A presto!