Quishing: Come Evitare gli Attacchi di Phishing tramite QR Code

I QR code sono diventati essenziali nelle nostre interazioni con le persone e i prodotti. Una rapida scansione con il telefono è tutto ciò che serve per scambiare informazioni di contatto, accedere a venue e acquistare merce online. Tuttavia, il loro uso diffuso ha attirato i criminali informatici che ora trovano facile creare QR code falsi e dannosi, portando a una nuova minaccia di phishing nota come “quishing.” Ecco il nostro avviso sugli attacchi di quishing con alcuni consigli pratici per proteggerti.

Cos’è il Quishing?

Il quishing, noto anche come phishing tramite QR code, è una minaccia informatica che sfrutta la comodità e la popolarità dei QR code. I criminali informatici usano QR code falsi per ingannare le persone a visitare siti web fraudolenti. Possono quindi cercare di accedere alle tue informazioni personali come dettagli di accesso e password, installare malware sul tuo dispositivo o rubare le tue informazioni finanziarie.

Secondo Egress, tra il 1 gennaio e il 31 agosto 2024, almeno il 12% degli attacchi di phishing ha coinvolto QR code, un netto aumento rispetto allo 0,8% nel 2021. Questo significativo aumento nel quishing è una testimonianza della crescente diffusione della tecnologia QR. Inoltre, i kit di phishing sul dark web, come “FishXProxy,” utilizzano i QR code come una scelta popolare per attacchi di takeover degli account (ATO).

Il fatto è che eseguire un attacco di quishing è relativamente facile, poiché chiunque può generare un QR code. Questi codici possono essere posizionati virtualmente ovunque – su volantini, poster, magliette, zaini e attraverso strumenti di phishing convenzionali come email e social media. La maggior parte delle persone considera i QR code innocui. Se sei a rischio solo quando visiti i siti fraudolenti collegati a questi codici.

Come Funziona il Phishing tramite QR

Il phishing tramite QR sfrutta l’uso diffuso degli smartphone e dei QR code. Anche i laptop possono scansionare questi codici. Gli attaccanti devono solo creare un QR code apparentemente legittimo che rimanda a un sito web dannoso o a file malware.

Creare un QR code con intenti dannosi è la parte facile. La sfida sta nel persuadere le persone a scansionare quelle immagini. Qui entra in gioco l’ingegneria sociale. Gli attaccanti potrebbero utilizzare varie tattiche di impersonificazione, promettere ricompense o creare un senso di urgenza. Di conseguenza, numerosi tipi di attacchi di quishing si sono evoluti. I più comuni includono:

1. QRLJacking

Questo è il tipo più semplice ma difficile da rilevare di attacco di quishing. I criminali informatici creano un QR code collegato a un sito web che mimetizza da vicino un’applicazione legittima che richiede l’accesso tramite QR code. Questo potrebbe essere per app come WhatsApp, Discord, TikTok, o anche il tuo sito bancario.

La maggior parte di noi non ispeziona i moduli di dati in bianco e nero che codificano un sito web reale, rendendo facile essere ingannati e consegnare informazioni di accesso. Gli attaccanti caricano quindi il tuo recente accesso su un server di phishing, offrendosi un’opportunità remota di prendere il controllo della tua sessione in seguito. Fortunatamente, attivare l’autenticazione a due fattori rende gli attacchi di QRLJacking quasi impossibili da eseguire. Molti siti monitorano i tentativi di accesso sospetti e ti avviseranno in tempo.

2. Phishing tramite QR in Testo Chiaro

In un tentativo di phishing tramite QR code in testo chiaro, gli attaccanti incorporano QR code dannosi all’interno di email, SMS e chat sui social media. La parte peggiore è che questi codici possono sembrare provenire da contatti fidati, poiché gli attaccanti potrebbero aver guadagnato accesso ai loro account.

Il modus operandi è semplice: gli attaccanti possono promettere una ricompensa lucrativa, sebbene molti utenti siano ora scettici riguardo a tali tattiche. In alternativa, potrebbero affermare che ci sono stati tentativi di accesso sospetti su un sito come Amazon. In realtà, gli attaccanti stanno cercando di catturare le tue informazioni di accesso tramite il QR code.

3. Formjacking

Il formjacking è un metodo comune utilizzato per rubare informazioni finanziarie, come dettagli della carta di credito, attirando gli utenti su siti web insospettabili. Gli utenti possono inviare direttamente le loro informazioni di pagamento, che vengono poi rubate utilizzando uno script dannoso sulla pagina.

In alternativa, potrebbero essere invitati a compilare un modulo, spesso travestito da sondaggio con ricompense promesse, per raccogliere risposte a domande di sicurezza come data di nascita, luogo di nascita, nome della madre e altri dettagli personali.

Questo tipo di minaccia informatica era in declino, poiché la maggior parte degli utenti è diventata cauta riguardo ai siti di moduli dannosi. Tuttavia, la recente popolarità dei QR code ha conferito un senso di legittimità a questi siti, rivitalizzando la minaccia del formjacking.

4. Altri Tipi di Tentativi di Phishing tramite QR

Ci sono diversi altri tipi di tentativi di phishing tramite QR che potresti incontrare inaspettatamente. È essenziale rimanere vigili e consapevoli di questi metodi.

• Phishing tramite QR di Malware: questi QR code ti indirizzano a siti web saturi di malware o avviano il download di trojan o rootkit dannosi. L’obiettivo è ottenere accesso non autorizzato alle risorse del tuo sistema. L’uso di software antivirus con funzionalità come un firewall, protezione email e web, e difesa contro il phishing può aiutare a proteggere contro queste minacce.
• Phishing tramite QR Cripto: questi strumenti sono ampiamente disponibili sul dark web. Attirano gli utenti ignari a visitare siti web apparentemente innocui, che poi iniettano script dannosi che restano non rilevati. Gli script sfruttano il sistema target per estrarre criptovalute senza il consenso dell’utente. Di conseguenza, l’utente può sperimentare giorni di prestazioni rallentate del PC, riavvii frequenti e altri problemi di prestazioni.
• Phishing tramite QR Basato su Macro: sebbene oggi sia relativamente raro, il vecchio trucco di incorporare macro in documenti Excel, Word o PDF per installare malware o rubare informazioni ha ora una variante con QR code. Tuttavia, tali file dovrebbero essere bloccati automaticamente sui dispositivi con software antivirus aggiornato o smartphone aggiornati.

Perché È Così Facile Cadere Vittima di un Attacco di Quishing

È chiaro che cadere vittima di un tentativo di phishing tramite QR code è relativamente comune. Ecco alcune ragioni per cui i truffatori usano con successo questo strumento ingannevole e perché dovresti diventare più vigile riguardo a queste minacce.

• Fiducia implicita nei QR code: la scansione dei QR code è una tecnologia relativamente nuova e alla moda, e molti utenti vi si fidano intrinsecamente a causa della mancanza di consapevolezza riguardo alle potenziali minacce. È importante ricordare che i QR code hanno rappresentato quasi il 12% di tutti i tentativi di phishing. Fidarsi ciecamente dei QR code è una cosa del passato.
• Impersonificazione del marchio è facile: è facile impersonare marchi popolari come Telegram, WhatsApp, TikTok, Amazon e molti altri. La maggior parte degli utenti non verifica se un URL è legittimo. Ad esempio, un sito come “AmazonAws.com” può sembrare affidabile, ma in realtà è un sito web dannoso senza alcuna connessione a Amazon o Azure. Questo dà ai truffatori un vantaggio in alcune situazioni.
• Collegamenti invisibili: la maggior parte degli utenti è cauta rispetto ai link accorciati e sconosciuti. Tuttavia, con un QR code, questi link sono nascosti dietro un’immagine che sembra legittima. Questo dà un senso ingiustificato di credibilità a link che non dovrebbero essere visitati in primo luogo.

Come Evitare un Attacco di Quishing

I QR code sono onnipresenti, apparendo su cartelloni, buste sigillate, abbigliamento, accessori e in tutto il web e i social media. Anche se solo una piccola frazione di questi codici può contenere link dannosi, può sembrare che diventare vittima sia inevitabile. Ma non deve essere così. Seguendo le seguenti precauzioni, puoi rimanere al sicuro dagli attacchi di quishing.

• Usa solo fonti affidabili: Se stai usando un QR code visualizzato in modo prominente in un ristorante, centro commerciale o luogo di concerto, è probabilmente legittimo. È evidente che questi QR code sono destinati all’uso pubblico. Al contrario, i QR code ricevuti tramite email, social media e link web casuali richiedono una maggiore verifica.
• Evita QR code casuali: potresti imbatterti in QR code casuali su volantini, imballaggi e altri luoghi che non aggiungono molto valore al tuo lavoro. Evita di scansionare questi codici.
• Prima di cliccare, visualizza il QR code: quasi tutte le app di scansione QR ti consentono di visualizzare il QR code prima di cliccare. Se il link sembra sospetto, resisti all’impulso.
• Abilita l’autenticazione a due fattori: l’uso dell’autenticazione a due fattori è una grande barriera contro i tentativi di quishing su app e siti web popolari.
• Consapevolezza costante: mentre i furti tramite phishing QR emergono come una minaccia di sicurezza significativa, rimanere aggiornati con le ultime notizie sulla sicurezza informatica può fornire preziose intuizioni sulle nuove varianti di minacce.

In questa guida, abbiamo visto cos’è il quishing e come puoi proteggerti da un attacco di quishing. È solo una forma di attacchi di phishing: ce ne sono molte altre, come quelle che prendono di mira gli acquirenti del Black Friday. Dovresti anche stare attento alle truffe del Prime Day di Amazon.