Quishing in aumento: come prevenire il phishing dei codici QR

Getty Images/iStockphoto

Secondo i ricercatori di minacce, i criminali informatici utilizzano attacchi quishing basati su e-mail per prendere di mira gli utenti. Almeno una campagna di quishing sembra essere su larga scala, di lunga durata e dinamica, basata sulla cadenza degli attacchi e sulle variazioni delle esche e dei domini utilizzati dai messaggi.

Il quishing, noto anche come phishing del codice QR, consiste nell'ingannare qualcuno inducendolo a scansionare un codice QR utilizzando un telefono cellulare. Il codice QR indirizza quindi l'utente a un sito Web fraudolento che potrebbe scaricare malware o richiedere informazioni sensibili.

Patrick Schläpfer, analista di malware presso HP, ha affermato che il suo team ha osservato per mesi attività di quishing basate su e-mail quasi quotidianamente. I ricercatori hanno monitorato una particolare campagna di phishing di codici QR che ha attirato la loro attenzione per la prima volta quando hanno notato una serie di e-mail sospette con allegati Word simili.

Ad un esame più attento, hanno scoperto che ogni documento conteneva testo cinese e un codice QR. Il messaggio sembrava provenire dal Ministero delle Finanze cinese – mentre in realtà proveniva da autori di minacce – e diceva ai destinatari che avevano diritto a ricevere un nuovo sussidio finanziato dal governo. Per ottenere i pagamenti, si legge nel documento, gli utenti dovrebbero utilizzare i propri dispositivi mobili per scansionare il codice QR, che li reindirizzerà a un modulo di domanda dove potranno inviare le proprie informazioni personali e finanziarie.

In un altro attacco simile scoperto da HP, gli utenti hanno ricevuto un'e-mail che sembrava provenire da un servizio di consegna pacchi, richiedendo il pagamento tramite un codice QR.

Il codice QR, secondo Schläpfer, è un modo per costringere un utente a passare da un desktop o laptop a un dispositivo mobile, che potrebbe avere protezioni antiphishing più deboli. E, mentre la campagna scoperta dai ricercatori HP mirava a sollecitare informazioni finanziarie degli individui, gli autori delle minacce potrebbero anche utilizzare tali campagne di quishing per distribuire malware mobile e rubare le credenziali di accesso aziendali.

"È molto probabile che il phishing QR si stia verificando su scala più ampia e utilizzando una varietà di metodi", ha affermato Schläpfer.

Il fornitore di sicurezza e-mail Abnormal Security aveva precedentemente identificato una campagna di quishing che utilizzava un codice QR per superare i gateway di sicurezza e-mail, che comunemente scansionano il testo alla ricerca di URL. L'attacco sembrava essere un tentativo di rubare le credenziali di accesso Microsoft degli utenti, ha riferito il fornitore.

Il quishing è un tipo di attacco di phishing in cui un autore di minacce utilizza un codice QR per manipolare gli utenti, in genere reindirizzandoli a un sito Web che scarica malware o richiede le loro informazioni sensibili.

Un codice QR, o codice di risposta rapida, è un codice a barre quadrato che può essere letto dalle fotocamere dei dispositivi mobili compatibili. Quando un utente scansiona un codice QR, spesso apre una pagina web, sebbene possa anche attivare una telefonata, un messaggio di testo o un pagamento digitale.

Prove aneddotiche suggeriscono che gli attacchi quishing sono aumentati dall’inizio della pandemia di COVID-19, quando un numero crescente di organizzazioni legittime ha iniziato a utilizzare i codici QR per consentire transazioni a basso contatto. Alcuni ristoranti, ad esempio, collegano i codici QR ai menu online, invece di fornire ai commensali copie cartacee. I portafogli digitali utilizzano i codici QR per facilitare i pagamenti contactless. Poiché gli utenti si sono sempre più abituati a interagire con i codici QR nella vita quotidiana, le opportunità di richiesta sono aumentate.

Ad esempio, secondo il Better Business Bureau (BBB), una truffa ormai comune prevede l’applicazione di codici QR fraudolenti sui parchimetri per indurre i conducenti a condividere credenziali finanziarie quando tentano di pagare il parcheggio. La BBB ha avvertito i consumatori che potrebbero incontrare truffe di codici QR nelle e-mail, nei messaggi di testo, sulla segnaletica, nella posta diretta e persino di persona da parte di criminali che si spacciano per lavoratori di servizi pubblici o dipendenti pubblici.

Molti attacchi quishing fino ad oggi hanno preso di mira singoli consumatori, ma anche le aziende e i loro dipendenti sono vulnerabili. In particolare, le campagne di phishing QR basate su e-mail, come quelle scoperte dai ricercatori di HP e Abnormal Security, potrebbero prendere di mira gli account aziendali per il furto di credenziali o la distribuzione di malware.