Sicurezza dei QR code: come scansionare senza farsi truffare
I QR code sono passati da strumento d’inventario a qualcosa che si scansiona una dozzina di volte a settimana: menu, parcometri, volantini, etichette di pacchi, perfino spot in TV. Questa comodità è il motivo per cui i truffatori hanno iniziato a stampare i propri. Un QR code non si legge a occhio come un indirizzo web, quindi vi fidate della fotocamera del telefono perché vi porti in un posto sicuro, senza averlo visto.
Perché i QR code sono un bersaglio facile
Un link come paypaI-secure-login.com può insospettire se letto con attenzione. Un QR code nasconde tutto: si vede solo un quadrato in bianco e nero finché la fotocamera non lo inquadra e il telefono ha già aperto il link. Gli attaccanti sfruttano questa fiducia cieca in diversi modi:
- Adesivi sovrapposti: un finto QR code incollato sopra quello vero, su un parcometro, il tavolo di un ristorante o un manifesto pubblico, che vi porta a una pagina di pagamento o di accesso contraffatta.
- E-mail di «quishing»: messaggi di phishing con un QR code al posto di un link cliccabile, nella speranza che i filtri (e il vostro istinto) controllino i link testuali e non le immagini.
- Falsi avvisi: un foglio lasciato sull’auto o sulla porta che chiede di «scansionare per pagare una sanzione» o «riprogrammare la consegna».
Come scansionare in sicurezza
- Visualizzate l’URL prima di aprirlo. La maggior parte delle fotocamere mostra un’anteprima del link; leggete il dominio prima di toccare. Se non corrisponde all’azienda attesa o è un link abbreviato senza contesto, non apritelo.
- Controllate segni di manomissione sui codici fisici. Un adesivo leggermente storto o sovrapposto al bordo stampato è un campanello d’allarme. Nel dubbio, andate direttamente al sito dell’azienda.
- Non inserite password o dati di pagamento subito dopo la scansione se non siete certi della destinazione.
- Diffidate dei QR code in e-mail e SMS, soprattutto se creano urgenza («pacco in giacenza», «verifica l’account ora»).
- Tenete aggiornato il sistema del telefono, perché alcuni attacchi colpiscono software obsoleti.
Il problema non è il codice, è la fiducia cieca
Il codice è solo un contenitore per un link; non sa se il link è sicuro. Valgono le stesse regole di qualsiasi link sconosciuto, applicate un passo prima.
Se dovete creare un QR code, generarlo nel browser è più sicuro e trasparente che usare un generatore a caso che potrebbe registrare ciò che create. Il nostro generatore di QR code funziona interamente sul lato client, e il lettore di QR code mostra la destinazione grezza prima che scansioniate con il telefono.