Che cos’è il quishing e perché se ne parla adesso
Il quishing è il phishing veicolato da un QR code: al posto del solito link cliccabile, l’email contiene un quadratino nero e bianco che invita a inquadrarlo con il telefono. Il messaggio sembra innocuo, spesso è quasi privo di testo, e proprio per questo passa indisturbato attraverso i controlli. Tra gennaio e marzo 2026 le rilevazioni di questa tecnica sono cresciute del 146%, un salto che nessun’altra famiglia di attacchi email ha registrato nello stesso periodo.
La ragione di questa impennata non è tecnologica ma economica. Il quishing costa poco, funziona spesso e richiede competenze minime: generare un QR code che punta a una pagina di raccolta credenziali è questione di secondi.
Per un imprenditore la domanda giusta non è “cos’è un QR code malevolo”, ma “perché il mio antispam, che mi ha protetto per anni, all’improvviso non se ne accorge”.
Dal link all’immagine: cosa cambia davvero
Un filtro email tradizionale legge il testo del messaggio, estrae gli URL, li confronta con liste di reputazione e ne simula l’apertura in ambiente isolato. È un meccanismo maturo, affinato in vent’anni di guerra al phishing.
Un QR code, però, non è testo: è un’immagine. Per il filtro è un file PNG come il logo aziendale in firma. L’indirizzo malevolo esiste, ma è codificato dentro una matrice di pixel che il motore di analisi, salvo configurazioni avanzate, non decodifica.
Il risultato è che l’email arriva in casella con un punteggio di rischio bassissimo. Nessun link sospetto, nessun allegato eseguibile, nessuna parola chiave da blacklist: solo un’immagine e due righe di testo.
Perché il phishing QR code aggira la sicurezza aziendale
Il vero punto di forza del quishing non è l’invisibilità al filtro, per quanto già di per sé rilevante. È il cambio di dispositivo.
Quando un dipendente inquadra il QR code, lo fa quasi sempre con il proprio smartphone personale. In quel momento l’attacco esce dal perimetro aziendale: niente più proxy di navigazione, niente più DNS filtrante, niente più antivirus gestito dall’IT, niente più policy di sicurezza applicate dall’azienda.
Il telefono personale è, dal punto di vista dell’attaccante, terreno neutro e sguarnito. Ed è anche il dispositivo su cui è più difficile accorgersi di una truffa: lo schermo è piccolo, la barra degli indirizzi viene troncata dopo pochi caratteri e distinguere login.microsoftonline.com da login-microsoftonline.secure-id.net richiede un’attenzione che nessuno dedica mentre cammina verso la macchina.
C’è poi un terzo elemento, il più insidioso. Il gesto di inquadrare un QR code è stato normalizzato dalla pandemia e dai menù dei ristoranti: lo compiamo senza il minimo sospetto, mentre sul link cliccabile qualche anticorpo culturale, dopo anni di campagne di sensibilizzazione, si è formato.
Le pagine di destinazione sono migliorate
Le landing page usate oggi non sono più le imitazioni approssimative di dieci anni fa. Molte replicano fedelmente il portale Microsoft 365 o Google Workspace, precompilano l’indirizzo email della vittima (l’attaccante lo conosce già) e chiedono solo la password.
Le versioni più evolute agiscono in tempo reale: intercettano anche il codice dell’autenticazione a due fattori e lo riutilizzano immediatamente sul portale vero, prima che scada. È il motivo per cui l’MFA basata su SMS o su codice numerico, pur restando molto meglio di niente, non è più una difesa sufficiente da sola.
Attacco QR code aziendale: gli scenari che vediamo più spesso
Conoscere le forme concrete che assume il quishing aziende serve più di qualunque definizione teorica, perché è quello che i vostri collaboratori si troveranno davanti.
La scadenza della password. Un finto avviso dell’amministratore di sistema comunica che le credenziali scadono entro 24 ore e invita a “riattivare l’accesso” inquadrando il codice. La leva è l’urgenza, il pretesto è credibile perché rispecchia una procedura reale.
Il documento condiviso. Una notifica imita SharePoint, OneDrive o DocuSign: un preventivo, un contratto, una busta paga da firmare. Il QR code promette accesso rapido da mobile.
La fattura e il sollecito. Particolarmente efficace nelle PMI, dove l’amministrazione riceve decine di documenti al giorno. Il codice rimanda a un portale che chiede le credenziali email oppure, nei casi peggiori, propone un IBAN modificato per il pagamento.
Il QR code fisico. Adesivi applicati sopra quelli legittimi su parcometri, colonnine di ricarica, locandine, persino nelle sale riunioni aziendali per il collegamento al Wi-Fi ospiti. Qui il filtro email non entra proprio in gioco: l’unica difesa è l’occhio della persona.
Perché le PMI italiane sono il bersaglio ideale
Nelle grandi organizzazioni esistono team dedicati, piattaforme di rilevamento avanzate e procedure di verifica formalizzate. Nella maggior parte delle imprese italiane sotto i cento dipendenti, la sicurezza email coincide con il filtro incluso nella licenza Microsoft 365 e l’IT è un consulente esterno che passa il martedì.
A questo si aggiunge una caratteristica organizzativa tipica del nostro tessuto produttivo: la sovrapposizione dei ruoli. La stessa persona gestisce ordini, fornitori, banca e posta elettronica. Un solo account compromesso apre l’accesso a tutto il ciclo attivo e passivo dell’azienda.
E l’obiettivo finale, quasi sempre, non è la casella email in sé. È la frode del bonifico: l’attaccante entra nella corrispondenza reale, studia lo scambio con un fornitore per settimane e interviene al momento giusto con coordinate bancarie diverse. Il danno medio di questi episodi, in Italia, si misura in decine di migliaia di euro per singolo caso.
Come difendersi dal quishing: cosa funziona davvero
Non esiste un interruttore da attivare. La difesa efficace combina tre livelli, e nessuno dei tre da solo è sufficiente.
Il livello tecnologico
Verificate che la vostra protezione email includa il rendering e la decodifica delle immagini in ingresso: le soluzioni aggiornate estraggono l’URL dal QR code e lo analizzano come farebbero con un link normale. Le nostre implementazioni con Kaspersky coprono questo scenario in modo nativo.
Adottate poi un’autenticazione a più fattori resistente al phishing: chiavi FIDO2, passkey o app che richiedono conferma contestuale con verifica del dominio. A differenza del codice a sei cifre, questi meccanismi sono legati crittograficamente al sito legittimo e non funzionano su una pagina clone.
Aggiungete un filtro DNS anche sui dispositivi mobili aziendali e valutate seriamente la separazione tra device personali e accessi ai sistemi critici.
Il livello procedurale
Stabilite una regola semplice e non negoziabile: nessuna variazione di IBAN, nessun pagamento straordinario e nessuna richiesta urgente di credenziali viene eseguita senza una verifica telefonica su un numero già noto, mai su quello indicato nel messaggio.
Comunicate internamente che l’IT non chiederà mai di reimpostare la password tramite QR code. Se la regola è chiara e conosciuta, ogni eccezione diventa immediatamente sospetta.
Il livello umano, quello decisivo
Poiché il quishing sposta l’attacco su un dispositivo che l’azienda non controlla, la persona resta l’ultimo e più importante presidio. Serve un percorso continuativo, non la classica lezione annuale in sala riunioni: simulazioni realistiche, formazione a microdosi e misurazione del miglioramento nel tempo.
È esattamente l’approccio dei nostri programmi di security awareness, che alternano contenuti brevi e simulazioni di attacco calibrate sui ruoli aziendali. Per le realtà che vogliono una piattaforma strutturata e adattiva, lavoriamo con Cyber Guru, che allena i comportamenti in modo progressivo e personalizzato sul livello di rischio di ogni utente.
Il quishing non è una moda passeggera: è il segnale che gli attaccanti hanno capito dove sono i punti ciechi delle difese aziendali. La buona notizia è che, una volta riconosciuto lo schema, difendersi è alla portata anche di un’impresa di venti persone.