Che cosa è il Quishing o QR Code Phishing?

Supponiamo che tu riceva un'e-mail fredda o un messaggio istantaneo che ti informa di alcuni pagamenti effettuati sul tuo conto e che tu stia per scansionare un codice QR allegato. In una frazione di secondo, quell'azione potrebbe esporre il tuo conto bancario, le tue password e i tuoi dati personali se si trattasse di un codice QR dannoso.  

Il quishing è un cyberattacco in rapida crescita che tenta di rubare le informazioni riservate degli utenti utilizzando falsi codici QR. Questo attacco strategico prende di mira principalmente dirigenti e dirigenti aziendali. Secondo un rapporto del 2024 di Abnormal Security Corp., i dirigenti C-suite ricevono attacchi di phishing QR 42 volte in più rispetto ai dipendenti medi. Il Business email compromise (BEC), un metodo popolare di attacco informatico che utilizza e-mail false, è aumentato di un enorme 108% tra il 2022 e il 2023.

Grazie alla crescente utilizzo dei codici QR nella vita quotidiana, il quishing sta diventando sempre più evidente. Pertanto, ogni utente di codice QR deve conoscere le attività o le pratiche dannose associate ai codici QR e le azioni preventive contro il phishing dei codici QR. 

Significato di quishing o phishing del codice QR

"Quishing", o phishing di codici QR, è un tentativo ben pianificato di ingannare gli utenti di codici QR inducendoli a visitare link e siti Web dannosi. Dopo aver scansionato e cliccato su un codice QR dannoso, gli utenti vengono indirizzati a un sito di phishing che porta alla compromissione delle loro informazioni sensibili.

Il quishing spesso aggira i sistemi di sicurezza convenzionali, come i gateway di sicurezza e-mail, poiché i sistemi percepiscono i codici QR allegati a un'e-mail come immagini innocue. Di conseguenza, molti utenti di codici QR diventano vittime di phishing e-mail. 

Come funziona il quishing?

Il quishing funziona quando gli utenti cliccano intenzionalmente o meno su un link fraudolento che appare quando si scansiona un codice QR dannoso. Gli attacchi di phishing mirano principalmente a rubare informazioni personali e finanziarie, come i dettagli di carte di debito o di credito, credenziali di accesso o informazioni di identificazione personale.

I truffatori usano le informazioni sensibili degli utenti per frodi finanziarie, furti di identità, accessi non autorizzati all'account o ransomware. Spesso usano codici QR dannosi tramite volantini e poster stampati, e-mail e piattaforme di social media. 

Dopo aver scansionato il codice QR, gli utenti vengono indirizzati a un sito Web o a un collegamento fasullo. Alle vittime viene spesso chiesto di immettere informazioni sensibili, come nomi, e-mail, data di nascita, dati bancari e password di accesso all'account.

Statistiche chiave sul phishing QR da tenere d'occhio

• Le rapido aumento dell'uso degli smartphone per la scansione dei codici QR è una ragione cruciale dietro il crescente tasso di quishing. Statista ha detto quasi 89 milioni di americani hanno scansionato un codice QR utilizzando i loro smartphone nel 2022. La cifra potrebbe raggiungere i 100 milioni di utenti nel 2025.  
• In Cina, ben Sono stati utilizzati 10 miliardi di dispositivi mobili per i pagamenti tramite codice QR nel 2022. 
• Secondo un rapporto, il numero totale di gli utenti di smartphone a livello globale hanno superato i 4.88 miliardi nel 2024, che rappresentano il 60.42% della popolazione mondiale.

Anche il phishing tramite codice QR è aumentato in modo significativoVediamo alcuni dati:

• Secondo un rapporto di Check Point Software Technologies, Truffe di phishing tramite codice QR UPI in India sono più che raddoppiati, passando da 15,000 casi nel 2022 a oltre 30,000 casi nel 2023. 
• Ogni giorno vengono inviate oltre 3 miliardi di email di phishing, con conseguente aumento delle possibilità che gli utenti di codici QR cadano nel tranello del quishing.
• Gmail blocca oltre 100 milioni di tentativi di phishing ogni giorno. 
• Come spiegato da Pymnts, i codici QR hanno rappresentato più di Il 20% di tutte le truffe online.
• Secondo IBM, il costo medio globale di una violazione dei dati nel 2024 ammonterebbe a 4.88 milioni di dollari, con un aumento del 10% rispetto all'anno scorso e il totale più alto di sempre.
• Come per il Sondaggio sulle violazioni della sicurezza informatica 2024 Secondo GOV.UK, il phishing resta la tipologia più diffusa di violazione e attacco alla sicurezza informatica, prendendo di mira l'84% delle aziende e l'83% delle organizzazioni benefiche nel Regno Unito.

Come ci proteggiamo dagli attacchi di phishing tramite QR?

Ecco i consigli principali per proteggere i tuoi dati personali ed evitare il phishing tramite codici QR. 

✅ Non accettare mai codici QR indesiderati: Evita di scansionare il codice QR allegato alle e-mail o ai post sui social media quando non conosci il mittente. Non scansionare i codici QR a caso in luoghi pubblici. Fai attenzione ai codici QR condivisi tramite e-mail o social media, soprattutto se non li hai richiesti.

✅ Verificare la fonte prima della scansione: Conferma l'autenticità del codice QR prima di scansionarlo, anche se pensi di conoscerne la fonte. Puoi verificare il nome del mittente cercando online o contattando direttamente l'azienda prima di scansionarlo.

✅ Ricontrolla l'URL del codice QR: Attendi un po' di tempo prima di cliccare sull'URL che appare dopo aver scansionato il codice QR. Ricontrolla l'URL del codice QR per vedere se corrisponde all'azienda che conosci o al sito web che ti aspetti di visitare. Non cliccare sugli URL sospetti.  

✅ Individuare i segnali di phishing: Confronta il codice QR che ricevi nelle email con quello salvato nel tuo account Google Wallet o UPI. Puoi vedere le differenze, come errori grafici e discrepanze nell'indirizzo email. Evita di scansionare il codice QR che crea un senso di urgenza nell'intraprendere un'azione o un messaggio con una grammatica scadente.  

✅ Prestare attenzione alle informazioni fornite online: Non accettare e-mail o messaggi di testo da mittenti sconosciuti che richiedono le tue informazioni personali e finanziarie. Devi essere sicuro al 100% che sia sicuro scansionare il codice QR prima di fornire informazioni sensibili, come numero di contatto, data di nascita, credenziali di accesso, dettagli della carta di credito, ecc. 

Le aziende possono adottare alcune misure aggiuntive per evitare di dichiarare fallimento, come segue:

☑️ Implementazione dell'autenticazione a due fattori: Il phishing via e-mail è la minaccia aziendale più comune. Utilizzando l'autenticazione a due fattori o autenticazione a più fattori impedirà agli aggressori BEC (Business Email Compromise) di hackerare le email aziendali. 

☑️ Aggiornare il software e le funzionalità di sicurezza: Aggiornare il software all'ultima versione e mantenere funzionalità di sicurezza avanzate può aiutare a prevenire gli attacchi di phishing.

☑️ Formazione sulla consapevolezza della sicurezza per i dipendenti: Trasmettere consapevolezza sulla sicurezza informatica e formare i dipendenti sulla sicurezza dei codici QR può aiutare le aziende a evitare pericoli di quishing. Attraverso la formazione, i dipendenti possono imparare a individuare i tentativi di BEC e implementare pratiche come la conferma della fonte dei codici QR o delle richieste di pagamento. 

Cosa succede se un'organizzazione è già vittima di quishing?

Supponiamo che la tua organizzazione sia già vittima di phishing tramite codice QR. Devi adottare i seguenti passaggi per fermare l'ulteriore diffusione della truffa o almeno ridurre i danni. Ecco come dovresti farlo. 

➡️ Rimuovere immediatamente il codice QR: Rimuovi o sostituisci immediatamente il codice QR dannoso dai tuoi spazi fisici e digitali esistenti, inclusi poster stampati, menu, social media e siti Web. Ciò contribuirà a prevenire l'ulteriore escalation dell'attacco di phishing.

➡️ Informare urgentemente i clienti e il personale: Avvisare clienti, partner commerciali e personale dell'attacco di phishing e spiegare chiaramente la situazione. Stabilire una comunicazione adeguata fornendo istruzioni chiare su come gestire la situazione. Una comunicazione tempestiva può salvare i clienti da perdite finanziarie e furto di dati personali, impedendo alle aziende di avere una cattiva immagine o reputazione del marchio.  

➡️ Identificare la fonte dei codici QR fraudolenti: Condurre una valutazione approfondita della fonte del codice QR e della sua destinazione di destinazione. Indagare sul movente del quishing identificando se gli utenti vengono indirizzati a un sito di phishing o scaricano contenuti dannosi. Un intervento e un'indagine tempestivi possono proteggere clienti e organizzazioni da ulteriori danni. 

➡️ Segnala l'incidente al team di sicurezza: Segnala immediatamente l'attacco di phishing alle autorità competenti. Ad esempio, se la tua organizzazione ha un team di sicurezza separato, segnala l'incidente al team non appena rilevi o ti rendi conto del quishing. Le organizzazioni possono sporgere denuncia presso una cellula locale per la criminalità informatica. Le autorità possono adottare contromisure appropriate per impedire ad altre organizzazioni di affrontare lo stesso incidente. 

➡️ Comunicare la risoluzione del problema: Informa i tuoi clienti, il personale e gli altri stakeholder aziendali non appena la tua organizzazione risolve i problemi. Puoi aggiornarli sulle tue azioni per gestire la situazione. Ripristinare la fiducia e rassicurare i clienti che la tua organizzazione li supporta è essenziale.

Conclusione

Oggigiorno, i codici QR sono ovunque, e così anche il potenziale di quishing. Gli utenti QR devono essere cauti quando usano i codici QR, specialmente quando scansionano un codice QR allegato a un'e-mail, un testo o un post sui social media da fonti non familiari. 

Le aziende devono rendersi conto della potenziale minaccia dei codici QR quando vengono utilizzati per attacchi di phishing. Adottare contromisure appropriate consentirà alle aziende di proteggersi dal phishing dei codici QR.

Domande frequenti