Cos’è il quishing e perché dovrebbe interessare alla tua azienda
I codici QR sono ovunque. Menu dei ristoranti, parcometri, biglietti da visita, fatture: sono diventati una parte naturale dell’operatività quotidiana delle aziende europee. Ma questa comodità ha un lato oscuro. I cybercriminali sfruttano ormai i codici QR per lanciare attacchi di phishing, una tecnica chiamata quishing (phishing tramite QR code), e le piccole e medie imprese sono in piena linea di tiro.
A differenza delle classiche email di phishing, che contengono link sospetti su cui puoi passare il mouse per ispezionarli, i codici QR nascondono del tutto la destinazione. Scansioni, arrivi da qualche parte e a quel punto può essere già troppo tardi. Per le PMI italiane ed europee che hanno adottato rapidamente flussi di lavoro basati sui QR, soprattutto dopo la pandemia, è una minaccia in crescita e in gran parte sottovalutata.
Come funzionano in pratica gli attacchi di quishing
Il meccanismo di un attacco di quishing è ingannevolmente semplice. L’attaccante genera un codice QR malevolo che porta a una finta pagina di login, a un download di malware o a un sito che raccoglie credenziali. Quel codice viene poi consegnato attraverso canali di cui i dipendenti già si fidano.
Modalità di consegna più comuni
- Allegati email: una fattura PDF o un avviso di consegna contiene un codice QR al posto di un link cliccabile. Poiché l’URL malevolo è incorporato in un’immagine, la maggior parte dei filtri di sicurezza della posta non riesce a individuarlo.
- Posizionamento fisico: adesivi applicati sopra i codici QR legittimi di parcometri, tavoli dei ristoranti o attrezzature d’ufficio. In Italia le forze dell’ordine hanno segnalato casi di codici QR fraudolenti incollati su quelli autentici nelle colonnine di ricarica pubbliche.
- Documenti interni: false comunicazioni delle risorse umane, istruzioni per configurare il Wi-Fi o richieste di autenticazione a più fattori che invitano i dipendenti a scansionare un codice con il telefono personale.
Il passaggio al mobile è il punto chiave. Quando un dipendente scansiona un QR con lo smartphone, esce dalla relativa sicurezza della rete aziendale e dei suoi strumenti di protezione. I telefoni personali di solito non hanno protezione endpoint, filtraggio web né la supervisione IT dei portatili aziendali. L’attaccante lo sa.
Perché i filtri email non lo vedono
Le soluzioni tradizionali di sicurezza della posta analizzano testo e URL alla ricerca di minacce note. Un codice QR è solo un’immagine: una griglia di quadratini bianchi e neri. A meno che il tuo stack di sicurezza non includa il riconoscimento ottico dei caratteri o funzioni di scansione specifiche per i QR, il contenuto malevolo passa inosservato. Secondo una ricerca di HP Wolf Security, gli attacchi di phishing tramite QR code sono aumentati di oltre il 400% tra il 2023 e il 2024, proprio perché gli attaccanti hanno scoperto questo punto cieco.
Il costo reale per le PMI europee
L’impatto finanziario e operativo di un attacco di quishing riuscito su una piccola azienda può essere pesante. Il furto di credenziali può portare a una business email compromise, in cui gli attaccanti si fingono dirigenti per autorizzare bonifici fraudolenti. Nell’UE il costo medio di una violazione dei dati per le PMI ha raggiunto circa 120.000 euro nel 2024, secondo il rapporto sul panorama delle minacce di ENISA. Per molte piccole aziende è una spesa da cui non ci si riprende.
Oltre alla perdita economica diretta, le aziende europee affrontano conseguenze normative con il GDPR. Se i dati di dipendenti o clienti vengono compromessi con un attacco di quishing, l’azienda resta responsabile della notifica della violazione entro 72 ore e rischia sanzioni fino al 4% del fatturato annuo. Il Garante per la protezione dei dati personali è sempre più attivo nel far rispettare questi obblighi, anche nei confronti di organizzazioni più piccole.
C’è poi il danno reputazionale. Una PMI italiana vittima di una truffa con QR code rivolta ai propri clienti (per esempio tramite QR di pagamento compromessi) rischia di perdere la fiducia costruita in anni.
Come proteggere la tua azienda dal phishing tramite QR code
La buona notizia è che difendersi dal quishing non richiede un budget enorme. Servono consapevolezza, qualche adeguamento tecnico e regole interne chiare.
Insegna ai dipendenti a diffidare dei codici QR
La formazione sulla sicurezza deve ormai trattare in modo esplicito le minacce legate ai codici QR. I dipendenti devono capire che scansionare un QR sconosciuto comporta lo stesso rischio di cliccare un link sconosciuto. Insegna loro a controllare l’anteprima dell’URL prima di aprirlo: la maggior parte delle fotocamere degli smartphone moderni mostra per un attimo l’indirizzo di destinazione prima di navigare. Se il dominio non è familiare o usa un servizio di accorciamento degli URL, devono fermarsi.
Adotta la gestione dei dispositivi mobili
Se i dipendenti usano telefoni personali per attività di lavoro, una soluzione di base di mobile device management (MDM) può imporre filtraggio web e rilevamento delle minacce su quei dispositivi. Si chiude così il varco che gli attaccanti sfruttano spostando il vettore di attacco dal portatile aziendale allo smartphone personale.
Aggiorna la sicurezza della posta
Chiedi al tuo fornitore IT se la soluzione di filtraggio email in uso riesce a rilevare i codici QR incorporati negli allegati e ad analizzare gli URL che contengono. Diverse piattaforme di sicurezza email di nuova generazione, tra cui gli strumenti di Barracuda e Abnormal Security, offrono ormai questa capacità. Per le PMI italiane che si affidano a fornitori di servizi gestiti, dovrebbe essere una domanda specifica nella prossima revisione della sicurezza.
Stabilisci un protocollo di verifica
Fissa una regola interna semplice: se una comunicazione (che arrivi dalle risorse umane, dall’IT, da un fornitore o da una banca) ti chiede di scansionare un codice QR per verificare la tua identità, reimpostare una password o effettuare un pagamento, verificala tramite un secondo canale prima di agire. Una telefonata veloce può evitare una violazione costosa.
Il quadro normativo europeo si sta adeguando
La direttiva NIS2 dell’Unione europea, entrata in vigore a ottobre 2024, estende gli obblighi di cybersecurity a una platea più ampia di aziende, comprese molte PMI delle filiere critiche. Il quishing non è citato esplicitamente, ma i requisiti della direttiva su notifica degli incidenti, gestione del rischio e sicurezza della supply chain implicano che le aziende debbano considerare nella propria postura di sicurezza anche vettori di attacco emergenti come il phishing tramite QR code.
L’agenzia nazionale per la cybersicurezza italiana, l’ACN (Agenzia per la Cybersicurezza Nazionale), ha diffuso indicazioni che invitano le aziende a trattare l’ingegneria sociale basata sui codici QR con la stessa serietà del phishing tradizionale. Non è una minaccia marginale: fa parte del panorama in evoluzione che le autorità si aspettano che tu sappia gestire.
Una minaccia semplice che richiede una risposta semplice
Il quishing funziona perché sfrutta fiducia e comodità, le stesse due cose che rendono utili i codici QR. L’attacco è low-tech, costa poco ed è molto efficace contro le organizzazioni che non hanno aggiornato la formazione sulla sicurezza per includere questo vettore.
Per le PMI europee, in particolare quelle che operano nella fitta rete di piccole imprese e filiere italiane, la priorità è chiara: far sapere alle persone che questa minaccia esiste, verificare prima di scansionare e accertarsi che le difese tecniche non abbiano lasciato un buco a forma di QR nel perimetro di sicurezza.