Che cos’è il “quishing” (QR Code phishing)?

Scansionare un codice QR ( QR Code ) è diventato comune quanto cliccare su un link. Le persone utilizzano i codici QR ( QR Codes ) per pagare le bollette, accedere a servizi e condividere informazioni, e il processo richiede solitamente solo pochi secondi. Tuttavia, una singola scansione può talvolta portare a un sito web falso creato appositamente per rubare dati. È questa l’idea alla base degli attacchi di tipo “quishing”.

Il "quishing" è una forma di phishing che utilizza l'QR Codes per indurre le persone a visitare siti web fraudolenti. Queste truffe prendono spesso di mira credenziali di accesso, informazioni di pagamento e account aziendali.

Questa guida spiega come funziona il quishing, perché gli hacker lo utilizzano e quali sono i gruppi più a rischio. Troverai inoltre consigli pratici per evitare le truffe più comuni e scoprirai come il quishing si inserisca nel dibattito più ampio sulla sicurezza dell'QR Codes .

Che cos’è il quishing?

Il "quishing" è un tipo di attacco di phishing che nasconde un URL dannoso all'interno di un'immagine QR Code anziché in un link testuale cliccabile. Il nome è una fusione tra QR Code e «phishing», e l’obiettivo è lo stesso di qualsiasi attacco di phishing: reindirizzarti verso un sito web falso in modo che gli hacker possano rubare le tue credenziali di accesso, installare malware o raccogliere i tuoi dati di pagamento.

Ciò che rende il "quishing" diverso è il metodo di consegna. L’URL dannoso è incorporato in un’immagine QR Code che viene letta dalla fotocamera del telefono. Non si trova nel corpo di un’e-mail, dove i filtri di sicurezza possono scansionarlo.

Secondo Keepnet, nel 2023 gli attacchi di tipo “quishing” sono aumentati del 587%, rendendo il phishing d QR Code e una delle tecniche di phishing in più rapida crescita attualmente in uso.

Il «quishing» si affianca ad altri tre tipi di attacchi correlati appartenenti alla famiglia del phishing.

La tabella sopra riportata è importante perché il «quishing» sfrutta una lacuna che molte difese tradizionali contro il phishing non erano state originariamente progettate per affrontare. Anziché chiedere alle vittime di cliccare su un link visibile, gli aggressori nascondono la destinazione all’interno di un’immagine QR Code. In molti casi, la scansione avviene poi su un dispositivo mobile separato, al di fuori dei controlli di sicurezza che normalmente ispezionano il traffico web.

Gli attacchi di tipo "quishing" si verificano più comunemente attraverso due canali.

1. Il primo è l’e-mail, in cui un malintenzionato inserisce un codice QR ( QR Code ) in un messaggio, in un allegato o in un PDF e incoraggia il destinatario a scansionarlo. 
2. Il secondo è il mondo reale, dove un adesivo contraffatto con l’ QR Code e viene applicato sopra uno autentico su un parchimetro, un tavolino di un bar, un chiosco nella hall o una bacheca pubblica. Entrambi gli approcci si basano sullo stesso comportamento: la scansione di un codice senza prima verificare dove conduca.

Il quishing in cifre: quanto sta crescendo rapidamente questa minaccia

L’ascesa del quishing non è un rischio futuro. Sta già avvenendo su larga scala. Secondo un’analisi di Keepnet Labs, gli attacchi di quishing sono aumentati del 587% nel 2023, rendendo il phishing d QR Code e una delle minacce informatiche in più rapida crescita degli ultimi anni.

Diverse altre statistiche indicano la stessa tendenza:

• Solo nel primo trimestre del 2025 sono state rilevate 4,2 milioni di minacce basate su QR Code.
• L'89,3% degli attacchi basati sull'QR Code e era finalizzato al furto delle credenziali di accesso.
• Gli attacchi di phishing rivolti ai dirigenti di alto livello sono stati 42 volte più numerosi rispetto a quelli rivolti ai dipendenti non dirigenti.
• Il 26% dei link dannosi inviati tramite e-mail era incorporato in QR Codes anziché essere presentato come un normale collegamento ipertestuale.
• Microsoft riferisce di bloccare in media ogni settimana oltre 18 milioni di email di phishing uniche contenenti un link QR Code nel corpo del messaggio e circa 3 milioni di email di phishing uniche al giorno contenenti il link QR Code.

I dati rivelano anche come operano gli hacker. Quasi 9 attacchi su 10 basati su QR Code mirano al furto di credenziali, spesso indirizzando le vittime verso pagine di accesso fasulle che imitano marchi affidabili e strumenti aziendali. Secondo il rapporto sulle minacce via e-mail del primo semestre 2024 di Abnormal Security, i dirigenti sono un bersaglio privilegiato poiché hanno accesso a sistemi sensibili, approvazioni finanziarie e dati aziendali.

Secondo la società di sicurezza informatica NordVPN, il 73% degli americani scansiona i codici QR ( QR Codes ) senza verificarli e oltre 26 milioni di persone sono già state reindirizzate verso siti dannosi. Nascondendo la destinazione all’interno di un’immagine, gli hacker possono indurre le vittime a passare da un dispositivo aziendale monitorato a uno smartphone personale, dove i controlli di sicurezza potrebbero essere meno rigorosi.

La diffusione del “quishing” segue da vicino quella dell’ QR Code. Menu contactless, pagamenti mobili, check-in agli eventi e procedure di autenticazione hanno reso la scansione dell’ QR Code una pratica di routine nella vita quotidiana. Man mano che la scansione è diventata un’abitudine consolidata, gli hacker hanno trovato un nuovo modo per sferrare campagne di phishing senza ricorrere ai tradizionali link.

Come funziona un attacco di quishing

Un attacco di tipo «quishing» si svolge in sei fasi. La falla di sicurezza critica si apre tra la terza e la quarta fase.

Passo 1: L'autore dell'attacco genera il codice QR Code

L’autore dell’attacco crea un codice QR ( QR Code ) che rimanda a un URL dannoso. Spesso si tratta di un sito per il furto di credenziali, una pagina di download di malware o un portale di pagamento fasullo. In questa fase, gli autori degli attacchi possono utilizzare codici QR dinamici ( QR Codes ). Un QR Code dinamico memorizza la destinazione su un server anziché nel codice stesso. In questo modo l’autore dell’attacco può sostituire l’URL di destinazione dopo la distribuzione per eludere le liste nere di URL.

Passaggio 2: Incorporare l'QR Code e nell'esca

L’autore dell’attacco inserisce l’immagine QR Code in formato PNG o JPG all’interno di un’e-mail di phishing. Una versione più sofisticata incorpora il codice in un allegato PDF, come una fattura, un documento delle risorse umane o una comunicazione di conformità. Le immagini incorporate nei PDF vengono sottoposte a un controllo ancora meno approfondito da parte degli scanner automatici.

Fase 3: L’e-mail supera i filtri di sicurezza aziendali

La vittima riceve l’e-mail su un laptop o dispositivo aziendale. Gli strumenti standard di sicurezza della posta elettronica analizzano il corpo dei messaggi alla ricerca di URL dannosi noti, link testuali sospetti e domini segnalati. L’ QR Code e è un’immagine. L’URL dannoso contenuto nell’immagine è invisibile ai filtri di analisi del testo. L’e-mail arriva nella posta in arrivo.

Fase 4: La vittima esegue la scansione con il proprio cellulare

L’e-mail invita il destinatario a scansionare il codice con il proprio telefono. L’esca potrebbe sostenere che il link sia più comodo da utilizzare su dispositivo mobile, oppure simulare una procedura di reimpostazione dell’autenticazione a più fattori (MFA) che richiede l’uso del telefono. La vittima prende il proprio dispositivo personale e esegue la scansione.

Passaggio 5: Il browser mobile apre la pagina di phishing

Il cellulare personale si trova al di fuori del perimetro di sicurezza aziendale. Sulla maggior parte dei dispositivi personali manca il software di gestione dei dispositivi mobili (MDM). La rete privata virtuale (VPN) aziendale non è attiva. Il browser segue l’URL decodificato e visualizza la pagina dell’autore dell’attacco.

Passaggio 6: Raccolta delle credenziali o installazione di malware

La vittima inserisce le credenziali nella pagina di accesso fasulla, effettua un pagamento fasullo o scarica un'app che sembra essere necessaria. L'autore dell'attacco intercetta i dati.

Il "pivot del dispositivo", ovvero il passaggio da un dispositivo aziendale a uno smartphone personale tra i passaggi tre e quattro, è il motivo strutturale per cui il "quishing" funziona laddove il phishing standard fallisce. L'attacco sfrutta due perimetri di sicurezza distinti, e nessuno dei due riesce a intercettare l'intera catena.

Perché Quishing aggira i tradizionali sistemi di sicurezza delle e-mail

La maggior parte delle e-mail di phishing contiene un link cliccabile. Gli strumenti di sicurezza possono analizzare quel link, verificarne la reputazione e bloccarlo se sembra sospetto. Il «quishing» funziona in modo diverso. Anziché inserire il link nell’e-mail, gli hacker lo nascondono all’interno di un QR Code.

Ecco tre motivi per cui il "quishing" può essere più difficile da individuare rispetto al phishing tradizionale.

1. L'URL dannoso è nascosto all'interno di un'immagine

Gli strumenti di sicurezza per le e-mail sono progettati per analizzare testo, link e domini. Un codice QR ( QR Code ) è un'immagine, pertanto l'URL di destinazione potrebbe non comparire in nessuna parte del testo visibile dell'e-mail.

I fornitori di soluzioni di sicurezza utilizzano ora l’analisi delle immagini per rilevare queste minacce. Ad esempio, Microsoft riferisce di bloccare circa 1,5 milioni di attacchi basati su QR Code al giorno. Tuttavia, non tutti gli strumenti di sicurezza e-mail dispongono dello stesso livello di rilevamento dell’ QR Code.

2. La scansione avviene spesso su un dispositivo diverso

Molte persone scansionano QR Codes con il proprio telefono, anche quando l’e-mail arriva su un computer di lavoro.

Quando un dipendente clicca su un link dal computer aziendale, gli strumenti di sicurezza spesso riescono a ispezionare e monitorare tale attività. Tuttavia, quando la stessa persona scansiona un QR Code con il proprio telefono personale, la visita potrebbe avvenire al di fuori dei normali controlli di sicurezza dell’organizzazione. Ciò offre agli aggressori un’altra via per raggiungere il proprio obiettivo.

3. Gli hacker possono modificare la destinazione di un QR Code

Alcune campagne di quishing utilizzano l'QR Codes. Un QR Code dinamico rimanda a una destinazione che può essere aggiornata in un secondo momento. Ciò consente agli aggressori di modificare l'URL finale dopo che l'QR Code è già stato inviato. In alcuni casi, possono utilizzare inizialmente una destinazione innocua per poi passare a una dannosa, rendendo più difficile il rilevamento.

Il risultato è semplice: un’e-mail di phishing che contiene un link dannoso visibile è spesso più facile da analizzare per gli strumenti di sicurezza. Un QR Code nasconde la destinazione dietro un’immagine e aggiunge ulteriori passaggi tra la vittima e il sito web dannoso.

Esempi pratici di quishing

Gli attacchi di tipo “quishing” possono verificarsi ovunque si utilizzi QR Codes. Alcuni arrivano tramite e-mail, mentre altri compaiono su cartelli, manifesti e terminali di pagamento nei luoghi pubblici. Gli esempi riportati di seguito mostrano come gli hacker utilizzino QR Codes per nascondere siti web dannosi dietro una semplice scansione.

Truffa dei parchimetri di Austin (2022)

Nel 2022, alcuni truffatori hanno apposto adesivi contraffatti con il codice QR QR Code su 29 parchimetri in tutta Austin, in Texas. Gli automobilisti hanno scansionato i codici per pagare il parcheggio, ma l'QR Codes reindirizzava invece a un sito web di pagamento fraudolento. Chiunque inserisse i propri dati di pagamento rischiava di fornire tali informazioni direttamente ai truffatori.

L’attacco ha funzionato perché gli adesivi contraffatti sembravano autentici. La maggior parte degli autisti non aveva motivo di sospettare che l’ QR Codes e originale fosse stato sostituito.

Truffe relative alla verifica dell'account Microsoft 365

Molte e-mail di phishing si spacciano per Microsoft 365. Il messaggio potrebbe affermare che la tua password sta per scadere, che il tuo account deve essere verificato o che le tue impostazioni MFA devono essere aggiornate.

Anziché includere un link, l’e-mail invita a scansionare un codice QR QR Code. L’URL QR Code apre quindi una pagina di accesso Microsoft contraffatta, progettata per rubare nomi utente e password. Alcune campagne tentano anche di acquisire informazioni sulla sessione che aiutano gli aggressori ad accedere agli account.

Poiché l’URL dannoso è nascosto all’interno dell’ QR Code, a prima vista l’e-mail può sembrare più sicura di un tradizionale messaggio di phishing.

Truffe relative a fatture e pagamenti

Le aziende sono un altro bersaglio comune. In questi attacchi, i truffatori inviano e-mail che sembrano fatture, richieste di pagamento o estratti conto provenienti da un fornitore di fiducia.

L'e-mail contiene un link fasullo QR Code che presumibilmente rimanda ai dettagli di pagamento o ai documenti giustificativi. Dopo aver scansionato il codice QR Code, la vittima viene reindirizzata a un sito web fasullo e le viene chiesto di inserire informazioni di pagamento, coordinate bancarie o credenziali di accesso. L'obiettivo è rubare denaro, informazioni sensibili o ottenere l'accesso ai sistemi aziendali.

Un tema comune a tutti questi attacchi è la fiducia. Le persone si aspettano che i parchimetri, le pagine di accesso di Microsoft e le fatture dei fornitori siano legittimi. Gli autori degli attacchi sfruttano questa fiducia nascondendo siti web dannosi dietro QR Codes. Gli attacchi con sovrapposizione fisica sono particolarmente efficaci perché un adesivo falso QR Code può mimetizzarsi su un cartello, un menu, un chiosco o una stazione di pagamento altrimenti legittimi.

La sfida per gli utenti è capire se un QR Code sia sicuro prima di scansionarlo. Per comprendere questa differenza, occorre innanzitutto sapere se i QR Codes sono sicuri e quali misure è possibile adottare per verificare la destinazione prima di aprirla.

Chi sono solitamente i bersagli degli attacchi di quishing?

Gli hacker non prendono di mira tutti allo stesso modo. Si concentrano sui settori che gestiscono denaro, informazioni sensibili o grandi quantità di documenti. Prendono inoltre di mira i dipendenti il cui lavoro prevede l’approvazione di pagamenti, la gestione dei conti o la revisione delle richieste.

Settori presi di mira dagli attacchi quishing

Questi settori hanno una cosa in comune: molti dipendenti lavorano regolarmente con fatture, moduli, approvazioni e notifiche contabili. Gli hacker sfruttano questi flussi di lavoro quotidiani facendo sembrare le e- QR Codes i dannose delle normali comunicazioni aziendali.

Ruoli comunemente presi di mira dagli attacchi di quishing

Sebbene alcuni settori siano esposti a rischi maggiori, gli hacker spesso prendono di mira dipendenti specifici che hanno accesso a fondi, dati sensibili o sistemi aziendali importanti.

Dirigenti

I dirigenti sono tra i gruppi più presi di mira. Secondo Abnormal Security, i dirigenti di alto livello subiscono 42 volte più attacchi di "quishing" rispetto agli altri dipendenti. Gli autori degli attacchi ricorrono spesso a richieste urgenti, documenti da approvare o avvisi di verifica dell'account, poiché i dirigenti hanno accesso a informazioni sensibili e ai sistemi finanziari.

Team finanziari

Il personale del reparto finanziario è spesso bersaglio di frodi relative alle fatture e truffe sui pagamenti. Il loro lavoro richiede loro di esaminare le fatture, approvare i pagamenti e collaborare con i fornitori. Gli autori degli attacchi ne sono consapevoli e spesso mascherano le e- QR Codes e dannose come richieste di pagamento o documenti finanziari.

Team IT

I dipendenti del settore IT si trovano regolarmente a gestire reimpostazioni di password, aggiornamenti dell’autenticazione a più fattori (MFA) e avvisi di sicurezza. Le e-mail di phishing spesso copiano questi messaggi e utilizzano l’ QR Codes per indirizzare le vittime verso pagine di accesso fasulle.

Team HR

Il personale delle risorse umane gestisce curriculum, moduli di inserimento, documenti relativi ai benefici e fascicoli dei dipendenti. Gli hacker potrebbero mascherare le e-mail di phishing come documenti di assunzione o richieste dei dipendenti per ottenere l’accesso ai sistemi aziendali.

Operatori in prima linea e sul campo

I dipendenti di magazzini, fabbriche, negozi al dettaglio e altre sedi fisiche sono esposti a un rischio diverso. Gli hacker possono applicare adesivi falsi con il messaggio QR Code su attrezzature, chioschi, cartelli o terminali di pagamento che i lavoratori utilizzano quotidianamente.

Il filo conduttore di tutti questi obiettivi è la fiducia. Gli hacker cercano situazioni in cui la scansione di un QR Code sembri normale. Più il flusso di lavoro risulta familiare, maggiore è la probabilità che qualcuno proceda prima alla scansione e solo in seguito si ponga delle domande.

Come proteggere la tua organizzazione dal quishing

Il "quishing" funziona perché gli autori degli attacchi nascondono link dannosi all'interno di QR Codes e convincono le persone a scansionarli. Per ridurre il rischio, le organizzazioni hanno bisogno di difese che coprano sia la sicurezza della posta elettronica che quella dell'QR Code. Le sei misure di controllo riportate di seguito possono essere d'aiuto.

1. Utilizzare strumenti di sicurezza per le e-mail in grado di ispezionare QR Codes

I filtri tradizionali delle e-mail sono progettati per analizzare link e testo. Gli attacchi di tipo «quishing» nascondono la destinazione all’interno di un’immagine QR Code.

I moderni strumenti di sicurezza per la posta elettronica sono in grado di decodificare i link QR Codes presenti nelle e-mail e negli allegati, per poi verificare se la destinazione è sicura. Senza questa funzionalità, i link dannosi QR Codes potrebbero superare i controlli di sicurezza senza essere individuati.

Gli standard di autenticazione delle e-mail come DMARC, SPF e DKIM sono ancora importanti, ma verificano solo il mittente. Non controllano il contenuto dell'QR Code o stesso.

2. Rafforzare la protezione dell’account con l’autenticazione a più fattori (MFA) resistente al phishing

Molti attacchi di phishing mirano a rubare nomi utente e password. Un'autenticazione a più fattori (MFA) efficace riduce il rischio che una password rubata porti alla compromissione dell'account.

Ove possibile, utilizzare metodi resistenti al phishing, come le chiavi di sicurezza o i passkey. Questi metodi rendono molto più difficile per gli hacker accedere agli account, anche se un dipendente inserisce la propria password su un sito web contraffatto.

3. Limita l'accesso degli account compromessi

Nessun sistema di controllo della sicurezza è perfetto. Le organizzazioni dovrebbero partire dal presupposto che, prima o poi, alcuni attacchi andranno a buon fine.

Limitare l’accesso in base alle responsabilità lavorative contribuisce a ridurre i danni. Se gli aggressori ottengono l’accesso a un account, non dovrebbero essere in grado di muoversi liberamente tra sistemi, dati e applicazioni.

4. Formare i dipendenti a riconoscere le truffe di tipo QR Code

La maggior parte dei programmi di sensibilizzazione alla sicurezza si concentra sui link sospetti. I dipendenti dovrebbero anche imparare come funziona il quishing.

La formazione dovrebbe riguardare i segnali di allarme più comuni, quali QR Codes inattesi nelle e-mail, richieste urgenti di verifica dell’account e adesivi QR Code apposti sopra la segnaletica esistente o sulle postazioni di pagamento.

5. Includere il quishing nei programmi di sicurezza e conformità

Le agenzie federali, tra cui la Federal Trade Commission (FTC), il Federal Bureau of Investigation (FBI) e la Cybersecurity and Infrastructure Security Agency (CISA), hanno tutte lanciato un allarme riguardo a un attacco di phishing denominato QR Code.

Le organizzazioni dovrebbero rivedere le proprie politiche di sicurezza esistenti e assicurarsi che il "quishing" sia incluso nella formazione dei dipendenti, nelle valutazioni dei rischi e nelle procedure di risposta agli incidenti. Ciò è particolarmente importante per i settori regolamentati che già seguono i quadri normativi in materia di sicurezza informatica e conformità.

6. Creare un piano di risposta per gli incidenti relativi ai dispositivi mobili

Molti attacchi di phishing indirizzano gli utenti da un dispositivo di lavoro al proprio telefono personale.

Le organizzazioni dovrebbero disporre di una procedura chiara per indagare sulle segnalazioni di scansioni malevole QR Code, identificare gli account compromessi, reimpostare le credenziali e monitorare le attività sospette.

Il "quishing" si differenzia dal phishing tradizionale perché nasconde link dannosi all'interno di un'QR Codes e e spesso reindirizza gli utenti da un dispositivo di lavoro a un telefono personale. Queste tattiche possono rendere gli attacchi più difficili da individuare e ridurre l'efficacia dei controlli di sicurezza progettati per ispezionare i link testuali e i contenuti delle e-mail.

Con la crescente diffusione dell'uso dell QR Code, le organizzazioni devono considerare il "quishing" come un rischio per la sicurezza a sé stante. Le aziende che combinano una sicurezza e-mail in grado di rilevare l'QR Code, un'autenticazione multifattoriale (MFA) robusta, la formazione dei dipendenti e procedure di risposta chiare sono meglio preparate a prevenire gli attacchi e a limitare i danni qualora uno di essi dovesse andare a buon fine.

Mantieni il controllo sull'QR Codes e generata dalla tua azienda

Non tutti i codici QR ( QR Codes ) rappresentano una minaccia. Le aziende utilizzano i codici QR ( QR Codes ) ogni giorno per pagamenti, documenti, esperienze dei clienti e flussi di lavoro operativi. La sfida consiste nell’assicurarsi che gli utenti possano fidarsi delle destinazioni a cui rimandano tali codici QR ( QR Codes ).

The QR Code Generator (TQRCG) aiuta le aziende a creare codici QR ( QR Codes ) tracciabili, modificabili e collegati a destinazioni verificate. Ciò offre alle organizzazioni una maggiore visibilità su come vengono utilizzati i loro codici QR ( QR Codes ) e dove indirizzano gli utenti.

TQRCG Supporta inoltre i requisiti di sicurezza previsti dall’ enterprise, grazie alle certificazioni SOC 2 Tipo 2 e ISO 27001, nonché alla conformità al GDPR. In combinazione con funzionalità quali il monitoraggio delle scansioni e la gestione degli URL di destinazione, questi controlli aiutano le aziende a garantire una maggiore sicurezza dell’ QR Code, riducendo al contempo il rischio di uso improprio.