Un'email con un QR code da scansionare per "verificare l'account" o "confermare la password": sembra innocuo, ma è una delle tecniche di phishing in più rapida crescita. Si chiama quishing — QR code più phishing — e vale la pena conoscerla.

Come si presenta

Al posto del solito link cliccabile, l'email contiene un'immagine con un QR code, accompagnata da un testo che invita a scansionarlo con lo smartphone: "il tuo account richiede una verifica", "reimposta l'accesso MFA", "documento riservato disponibile solo su mobile", oppure — nei casi più creativi — falsi avvisi di consegna pacchi o addirittura false multe per parcheggio.

Perché gli attaccanti lo preferiscono ai link classici

  • Bypassa alcuni controlli automatici: molti sistemi di sicurezza email analizzano il testo e i link scritti nel messaggio, ma un URL "nascosto" dentro un'immagine QR è più difficile da leggere e valutare automaticamente
  • Sposta l'attacco sul telefono personale: scansionando il codice, l'utente apre il link sul proprio smartphone, spesso un dispositivo con controlli di sicurezza aziendali più deboli o assenti rispetto al computer di lavoro
  • Riduce la diffidenza: siamo abituati a scansionare QR code nella vita quotidiana — su un menu, una locandina, un pagamento — e questa abitudine abbassa la soglia di attenzione anche quando il contesto è un'email

Un dettaglio da non sottovalutare: a differenza di un link, un QR code non mostra l'indirizzo di destinazione finché non lo hai già scansionato. La verifica va quindi fatta dopo la scansione, guardando l'anteprima dell'URL, e prima di aprirlo o inserire qualsiasi dato.

Come riconoscerlo

  • Diffida di qualsiasi email inaspettata che chiede di scansionare un QR code per accedere, verificare o confermare qualcosa
  • Se il tuo telefono mostra un'anteprima dell'URL dopo la scansione, controllala sempre prima di procedere: dominio sconosciuto o diverso da quello atteso è un segnale d'allarme
  • Non inserire mai credenziali aziendali su una pagina raggiunta scansionando un QR code ricevuto via email
  • In caso di dubbio su una comunicazione "ufficiale" (banca, corriere, fornitore di servizi), accedi al sito digitando tu stesso l'indirizzo, senza passare dal QR code

Cosa fare se hai già scansionato e inserito dati

Se hai inserito credenziali aziendali su una pagina raggiunta tramite QR code sospetto, cambia immediatamente la password da un dispositivo sicuro, verifica eventuali regole di inoltro automatico sospette sulla casella coinvolta e contattaci per un controllo approfondito.

Come ti protegge MailGestITA

Il gateway Libraesva è in grado di analizzare anche i QR code contenuti nelle immagini allegate o incorporate nelle email, estraendo e verificando l'URL di destinazione prima ancora che il messaggio arrivi in casella, con lo stesso livello di analisi applicato ai link testuali tradizionali.