QRishing è una forma di attacco di phishing in cui gli hacker sfruttano i codici QR per rubare informazioni private, installare software dannoso su un dispositivo o indirizzare una persona a un sito Web non sicuro.
Allora come funzionano questi attacchi? Come puoi evitare di cadere vittima di un attacco QRishing?
Che cos'è QRishing?
QRishing sfrutta le tendenze degli utenti del telefono a scansionare i codici QR per curiosità, noia o necessità.
Ad esempio, l'aggressore può lasciare i volantini alla fermata dell'autobus o sui tavoli dei ristoranti o dei bar. Quando una persona scansiona il codice QR con il proprio telefono, pensando che sia un annuncio o un menu, viene visualizzato un URL, un'immagine o una mappa con le indicazioni stradali per raggiungere una posizione, tra le altre cose.
Da qui in poi, i truffatori si affidano Ingegneria sociale per indurre le vittime a condividere informazioni sensibili. Gli hacker possono anche sfruttare vulnerabilità come i bug di WebKit in un browser per impossessarsi del dispositivo della vittima.
Come funziona QRishing?
Naturalmente, non tutti scannerizzerebbero un codice QR casuale senza un incentivo o una didascalia che spieghi cosa possono aspettarsi di vedere. Quindi i criminali informatici spesso trovano un altro modo per interessare le persone.
Modifica codici QR popolari o affidabili
Un criminale informatico può prendere un volantino, ad esempio, da un popolare istituto finanziario o da un'agenzia governativa. Successivamente, cambiano il codice QR ma conservano altri dettagli o design e condividono il volantino online. Possono anche pubblicarli in luoghi pubblici dove le persone possono vedere e scansionare il codice QR. Questo particolare trucco è stato ben segnalato dopo il Annuncio codice QR Coinbase al Super Bowl 2022 è diventato virale.
Incolla volantini falsi con il codice QR
Qui, un criminale informatico può creare volantini falsi con un codice QR creato per indirizzare le persone che li scansionano a un sito Web in cui l'attaccante può rubare i loro dati. Anche se questo tentativo fallisce, l'attaccante può comunque raccogliere dati sul dispositivo e sulla posizione dal browser della vittima. Peggio ancora, un aggressore determinato potrebbe utilizzare il fingerprinting del browser per rintracciare una vittima online.
Incorpora il codice QR in un'e-mail truffa
Questa forma di QRishing è in genere parte dei metodi di phishing e-mail convenzionali. A differenza dei collegamenti ipertestuali abbreviati, il passaggio del mouse su un codice QR non mostra l'URL di destinazione, quindi, per ad esempio, è facile per un truffatore dire a una potenziale vittima di scansionare un codice QR per avere la possibilità di vincere a carta regalo.
Come evitare il QRishing
La scansione e la lettura di un codice QR richiede principalmente due cose: una fotocamera e un browser per seguire le informazioni nel codice QR. Poiché è così semplice, significa che è anche semplice evitare di cadere vittima. Ecco come.
Blocca l'accesso alla fotocamera sul tuo telefono
La maggior parte delle persone ha la fotocamera del telefono pronta per catturare momenti importanti o fare videochiamate. Questo è comprensibile. Ma avere una fotocamera sempre attiva può anche semplificarti la scansione di un codice QR senza pensarci due volte.
Ritenere disattivare la fotocamera del tuo iPhone quando non è in uso. Un modo rapido per farlo è scorrere verso il basso dall'area di notifica e bloccare l'accesso alla fotocamera. L'altro modo è navigare verso Impostazioni > App > Autorizzazioni. È quindi possibile disabilitare la fotocamera o impostarla per richiedere i permessi di accesso ogni volta che si desidera utilizzare l'app. Il processo è simile per gli utenti Android.
Senza dubbio, sentirai questo cambiamento nello stile di vita, soprattutto se usi molto la tua fotocamera. Tuttavia, l'occasionale inconveniente di disabilitare e abilitare la tua fotocamera vale la sicurezza extra contro QRishing e app di terze parti che accedono alla tua fotocamera.
Mantieni il tuo software aggiornato
Gli hacker possono sfruttare le vulnerabilità del software nelle tue app o nel sistema operativo del telefono a tua insaputa. Ad esempio, gli hacker possono sfruttare le vulnerabilità di sicurezza di WebKit nel tuo browser per hackerare il tuo telefono, tablet o persino smartwatch. Prendi in considerazione la possibilità di impostare i tuoi dispositivi per l'aggiornamento automatico delle app e installare gli aggiornamenti di sicurezza non appena diventano disponibili.
Evita di condividere informazioni sensibili online
La scansione di un codice QR potrebbe indirizzarti a una pagina Web o a un modulo online in cui ti verrà chiesto di fornire informazioni come i tuoi dati anagrafici, indirizzo e-mail, password dell'account o dettagli della carta per avere la possibilità di vincere un premio fittizio.
Come regola generale, evita di condividere i dati personali online. Oltre al rischio che il tuo account venga violato o rubato denaro, i criminali informatici possono anche utilizzare i dettagli con cui hai condiviso rubare la tua identità.
Pensa prima di scansionare
Non devi scansionare tutti i codici QR che ti vengono presentati. Rimani scettico e evita di scansionare qualsiasi cosa non necessaria. Nella maggior parte dei casi, puoi controllare il sito web o il menu di un'azienda cercandolo prima online.
Qishing: meno comune, ma resta un passo avanti
Il QRishing è meno comune di altri tipi di phishing perché un utente malintenzionato dovrebbe investire un po' di impegno nella distribuzione del codice QR dannoso. Tuttavia, questa forma di phishing è relativamente nuova e non molte persone ne sono a conoscenza, il che significa che le persone possono facilmente innamorarsene. I criminali informatici che effettuano questi attacchi hanno tutto da guadagnare e niente da perdere.