Quishing: come i truffatori abusano dei codici QR — e da cosa si riconoscono i codici sicuri

Il parcheggio è pagato, si crede — in realtà i dati della carta di credito sono appena finiti sul server di truffatori. A renderlo possibile è un adesivo: un codice QR falsificato, incollato sopra il codice autentico del parcometro. «Quishing» si chiama questa truffa, parola macedonia nata da QR e phishing. Le associazioni dei consumatori e le autorità di polizia mettono in guardia da tempo contro casi del genere ai parcometri, alle colonnine di ricarica e nelle false lettere delle banche. Non è un motivo di panico — ma sì un'occasione per rivedere le proprie abitudini di scansione.

Perché proprio i codici QR? Perché sono il nascondiglio perfetto. Un link in un'e-mail si può leggere prima di cliccarlo; un codice QR, per l'occhio umano, è un motivo privo di significato. Dove conduca lo si scopre solo dopo la scansione. A ciò si aggiunge il contesto: un codice su un dispositivo ufficiale ne eredita la credibilità — quasi nessuno mette in conto che l'amministrazione comunale sia stata ricoperta da un adesivo. E lo sforzo degli autori è minimo: bastano un foglio di etichette adesive e un generatore di codici qualsiasi. La tecnica in sé è neutrale come la carta e l'inchiostro da stampa — chiunque può generare con qualsiasi strumento un codice verso qualsiasi indirizzo.

Le truffe note si assomigliano. Ai parcometri e alle colonnine di ricarica elettrica, codici sovraincollati conducono a pagine di pagamento ingannevolmente autentiche che chiedono i dati della carta di credito. Nelle lettere false, che provengono in apparenza dalle banche, il codice QR sostituisce il classico link di phishing — la carta ispira fiducia e aggira ogni filtro antispam. Sono documentate anche multe fittizie con l'invito a pagare comodamente tramite codice, così come adesivi sugli avvisi di consegna dei pacchi. L'obiettivo è sempre lo stesso: dati di pagamento o credenziali di accesso, raccolti su un sito web ricostruito.

Per quanto diverse siano le scenografie, la drammaturgia si assomiglia. Quasi sempre la truffa lavora con la pressione del tempo: il conto verrà bloccato, l'auto rimossa, la mora addebitata se non si agisce entro pochi minuti. A ciò si aggiunge spesso una via insolita per un'operazione quotidiana — la banca che all'improvviso invita per lettera a scansionare, l'autorità che gestisce i pagamenti tramite una pagina sconosciuta. Entrambi sono segnali classici del social engineering, ed entrambi funzionano indipendentemente dalla tecnica: il codice QR è solo il vettore. Chi si abitua a rallentare proprio quando percepisce pressione temporale toglie alla truffa la sua leva più importante — nessun fornitore serio punisce un pagamento effettuato cinque minuti più tardi per la via ufficiale.

La protezione più importante è incorporata da tempo, ma viene usata di rado in modo consapevole: l'anteprima del link. I telefoni moderni mostrano dopo la scansione, prima di aprire una pagina, l'indirizzo di destinazione. Quel secondo è quello decisivo. Leggere con attenzione conviene — e precisamente da dietro: determinante è il dominio vero e proprio immediatamente prima dell'estensione, non l'inizio dell'indirizzo. «suabanca.servizio-pagamenti.example» non appartiene alla banca, ma al gestore di «servizio-pagamenti.example». Anche le lettere invertite, i trattini aggiuntivi e le estensioni insolite sono segnali d'allarme.

Due finezze rendono la lettura più difficile di quanto sembri. Primo, alcune app fotocamera abbreviano nell'anteprima gli indirizzi lunghi — visibile resta allora solo l'inizio dall'aria innocua, non il dominio decisivo. Chi è insicuro si fa mostrare l'indirizzo completo prima di aprirlo. Secondo, esistono domini con caratteri di altri alfabeti che somigliano fino a confondersi alle lettere latine; molti browser, per protezione, rappresentano indirizzi del genere in una scrittura tecnica con il prefisso «xn--». Chi vede una sequenza simile nell'anteprima pur aspettandosi un marchio familiare ha ogni ragione di prudenza. I servizi di link abbreviati, infine, nascondono completamente la destinazione vera — per tutto ciò che ha a che fare con denaro o credenziali, digitare a mano l'indirizzo conosciuto è la via più sicura.

Il secondo sguardo spetta al codice stesso. È incollato sul dispositivo, invece di essere stampato o protetto da pellicola? È storto, si sovrappone ad altre scritte, si stacca al tatto dalla superficie? Un'etichetta sopra l'originale è lo schema più frequente del quishing nello spazio pubblico. Nel dubbio vale: prendere la via ufficiale — l'app del gestore, il numero di assistenza stampato o il terminale stesso.

Terzo: le operazioni sensibili non hanno nulla a che fare con una scansione nello spazio pubblico. Chi dopo la scansione di un codice viene invitato a inserire dati di pagamento, password o un codice TAN fa meglio a interrompere e a digitare da sé l'indirizzo conosciuto, oppure a usare l'app ufficiale. Con le lettere contenenti un codice QR aiuta una telefonata alla banca — al numero sulla carta bancaria, non a quello nella lettera. Gli istituti seri accettano questa deviazione senza lamentarsi; chi mette fretta si rende sospetto.

Un equivoco diffuso merita un avvertimento a sé: il simbolo del lucchetto nel browser non è un sigillo di qualità. Mostra soltanto che la connessione è cifrata — non con chi si stia comunicando in modo cifrato. Le pagine di phishing usano oggi quasi senza eccezioni HTTPS. La domanda non è quindi mai se una pagina abbia il lucchetto, ma a chi appartenga il dominio.

Una differenza la fa anche lo strumento nella propria mano. Le app fotocamera dei telefoni moderni mostrano l'indirizzo di destinazione e attendono una conferma consapevole — esattamente questa pausa è il meccanismo di protezione. Le app di scansione di terze parti, invece, aprono i link in parte automaticamente, mostrano pubblicità o pretendono autorizzazioni che con la scansione non hanno nulla a che fare. Chi usa un'app del genere verifica al meglio se l'apertura automatica si possa disattivare — o vi rinuncia del tutto: per la quotidianità la fotocamera preinstallata basta pienamente. Dove manca, per esempio sui dispositivi più vecchi, un'app di scansione con funzione di anteprima e autorizzazioni parsimoniose è la scelta giusta.

Alla verità appartiene però anche questo: non ogni reindirizzamento è sospetto. Molti codici legittimi della pubblicità e del commercio passano prima per il dominio breve di un servizio QR, prima di arrivare a destinazione — così funzionano i codici dinamici, la cui destinazione resta modificabile a posteriori e le cui scansioni vengono contate per la misurazione della copertura. Un passaggio intermedio tramite un indirizzo breve sconosciuto non è quindi, di per sé, una prova di truffa — così come la sua assenza non è una prova di sicurezza.

Come i fornitori possano gestire questa questione di trasparenza lo mostra il servizio QR tedesco QR2GO: mette a disposizione per ogni codice più modalità di reindirizzamento — un reindirizzamento visibile, in cui il passaggio intermedio resta riconoscibile, una variante nascosta con conteggio e una modalità diretta senza deviazione. Per le consumatrici e i consumatori la lezione resta comunque la stessa: decisivo non è il percorso, ma la destinazione — quale indirizzo sta alla fine nel browser e che cosa la pagina lì richiede.

Impedire l'abuso, infatti, un generatore non può: nessun fornitore controlla dove un codice, una volta generato, venga incollato, e i truffatori possono usare qualsiasi strumento. La protezione non sta quindi nella tecnica, ma nell'abitudine: leggere l'indirizzo di destinazione, verificare il contesto, diventare diffidenti quando ci sono di mezzo denaro e password. È la stessa vigilanza che con i link nelle e-mail si è ormai radicata — solo che con il codice QR può cominciare soltanto dopo la scansione.

Una sfaccettatura propria ha il tema nella quotidianità lavorativa. Le autorità di sicurezza e i difensori dei consumatori osservano da qualche tempo e-mail di phishing che al posto di un link contengono un codice QR — con un effetto collaterale calcolato: il codice viene scansionato dallo schermo con il telefono privato, e con ciò l'attacco abbandona il computer aziendale protetto, con i suoi filtri e programmi di sicurezza. La maschera di accesso che poi appare sul telefono somiglia spesso fin nei dettagli al portale del datore di lavoro. La contro-regola è semplice e si lascia radicare nel team: le credenziali di lavoro non si inseriscono per principio su pagine raggiunte tramite un codice scansionato — e i messaggi sospetti vanno segnalati al reparto IT, non nel cestino.

Importante per l'inquadramento: la scansione in sé, di norma, non provoca ancora alcun danno. Pericoloso diventa solo quando la pagina aperta invita a inserire dati, offre download o spinge a installare un'app. Chi chiude semplicemente una pagina sospetta e non ha inserito nulla, il più delle volte non ha altro da temere — uno sguardo di controllo ai prossimi estratti conto, comunque, non guasta mai.

Se invece è successo qualcosa, conta la velocità. Se sono stati inseriti i dati della carta, la carta va bloccata immediatamente — in Germania centralmente tramite il numero di emergenza per i blocchi 116 116 o direttamente presso la banca. Le password coinvolte vanno cambiate subito, e in caso di riutilizzo anche su tutti gli altri servizi. Una denuncia alla polizia è sensata anche per i piccoli importi, perché rende visibili gli schemi investigativi; le associazioni dei consumatori raccolgono in aggiunta le segnalazioni di phishing. I movimenti del conto vanno controllati con attenzione nelle settimane successive.

Anche la controparte può fare qualcosa. Le aziende che espongono codici in pubblico rafforzano la fiducia stampando accanto l'indirizzo di destinazione in chiaro — chi vuole può digitarlo, e tutti gli altri possono almeno confrontarvi l'anteprima. Anche un'immagine coordinata con colori e logo aiuta, ma non è una prova, perché la grafica si può copiare. Più efficace è il controllo regolare sul posto — un codice sovraincollato salta all'occhio durante il giro settimanale — e un posizionamento che renda il sovraincollaggio almeno più difficile.

Per i gestori di distributori automatici e colonnine di ricarica tutto ciò si lascia condensare in una procedura fissa: tenere un registro di quale codice sia appeso in quale postazione e dove conduca; istruire il personale in modo che un adesivo estraneo salti all'occhio durante lo svuotamento o la manutenzione; e creare un canale di segnalazione semplice per le indicazioni della clientela. Se viene scoperta una manipolazione, vale: coprire o rimuovere subito il codice falso, fotografare prima lo stato, sporgere denuncia — e segnalare bene in vista sul dispositivo che i pagamenti dovrebbero avvenire solo per le vie ufficiali. Chi informa in aggiunta la clientela attraverso i propri canali limita il danno e riconquista fiducia.

Alla fine il quishing non è un pericolo nuovo, ma uno vecchio in veste nuova: il phishing segue l'attenzione, e l'attenzione è arrivata al codice QR. La risposta resta invariata — un breve sguardo di verifica prima che i dati fluiscano. Chi legge l'indirizzo di destinazione di un codice scansionato con la stessa attenzione con cui legge il mittente di un'e-mail sospetta ha tolto alla truffa la maggior parte del suo spavento.