Nuova minaccia tramite codici QR: il tuo telefono può essere infettato semplicemente scansionandolo!

Il phishing tramite codici QR, noto anche come "Quishing", è diventato più pericoloso che mai, poiché gli aggressori sfruttano questi codici in modi innovativi per hackerare i dispositivi e rubare dati.

Secondo un report pubblicato da Silicon Angle , i criminali informatici stanno ora inserendo codice JavaScript dannoso all'interno dei codici QR, in modo che venga eseguito automaticamente non appena il codice viene scansionato. Ancora più allarmante, gli utenti presi di mira non hanno nemmeno bisogno di cliccare sul link che appare dopo la scansione perché i loro dispositivi vengano compromessi.

Questo metodo si differenzia dalle tradizionali minacce tramite codice QR , che si limitavano a reindirizzare gli utenti a siti web dannosi quando cliccavano sul link visualizzato dopo la scansione.

Questo nuovo metodo prevede invece l'incorporamento di HTML e JavaScript direttamente nei codici QR tramite Uniform Resource Identifier (URI). Ciò significa che il malware può operare interamente all'interno del browser, dove può prendere il controllo delle pagine di login, spiare ciò che viene digitato (keylogger) e lanciare exploit immediatamente.

Una volta attivato, il codice JavaScript dannoso può anche estrarre dati utilizzando modelli nascosti e creare un'impronta digitale del dispositivo. Ancora più preoccupante è il fatto che questo codice dannoso può eludere la maggior parte dei programmi, strumenti e sistemi di sicurezza, poiché il malware è incorporato nel codice stesso e quindi non si connette ad alcun URL esterno durante l'esecuzione. Analogamente, il rapporto di INKY su questo argomento aggiunge che gli aggressori stanno già utilizzando queste nuove tecniche di phishing per nascondere malware pericolosi ed eludere il rilevamento.

Come proteggersi dai codici QR dannosi: una guida completa

È scontato, ma lo ribadiamo: evitate di scansionare codici QR provenienti da fonti sconosciute . Assolutamente no. Se la fonte è sconosciuta o inaffidabile, non scansionate il codice. La sicurezza digitale inizia con la prudenza.

Se ricevi un'e-mail o un SMS che ti chiede di scansionare un codice QR per completare un'azione o un'attività, soprattutto se il messaggio trasmette un senso di urgenza, contatta direttamente il mittente tramite un numero di telefono noto, un canale di chat o le informazioni di contatto ufficiali dell'azienda, non rispondendo all'e-mail o all'SMS che ha inviato la richiesta. Verifica in modo indipendente che ti venga richiesto di scansionare il codice. Questo è un passaggio fondamentale per verificare l'autenticità della richiesta ed evitare di cadere vittima di frodi.

Non fornire mai dati di accesso o altri dati personali sensibili dopo aver scansionato un codice QR, a meno che tu non sia assolutamente certo che il sito che stai visitando sia legittimo. Controlla attentamente l'URL, anche se a prima vista sembra valido. I truffatori spesso utilizzano URL molto simili a quelli originali per ingannare gli utenti.

Allo stesso tempo, dovresti anche disattivare la funzione che apre automaticamente il browser sul tuo sistema operativo mobile o sull'app per la scansione di codici QR. Questo impedirà allo scanner di aprire i link prima che tu abbia la possibilità di verificarli. Assicurati inoltre di utilizzare uno scanner di codici QR che visualizzi l'URL prima di aprirlo. Queste impostazioni forniscono un ulteriore livello di protezione contro i link dannosi.

Come per qualsiasi minaccia di phishing, sii estremamente cauto e scettico nei confronti di qualsiasi messaggio (email, SMS o social media) che trasmetta un senso di urgenza o minaccia. Qualsiasi messaggio che includa una minaccia di disattivazione dell'account, un'azione legale, la sospensione dell'account, un accesso non autorizzato o una richiesta di agire immediatamente deve essere considerato un potenziale attacco. Queste tattiche sono comuni nei tentativi di phishing e mirano a spingere gli utenti a prendere decisioni affrettate.

Se ricevi un'email sospetta contenente un codice QR, segnalala al tuo team IT o di sicurezza aziendale. Se vedi un messaggio simile nel tuo account personale, puoi sempre segnalarlo come spam o potenziale phishing. Segnalare questi messaggi aiuta a proteggere gli altri dal rischio di frodi.

Data l'immensa popolarità dei codici QR e la dimestichezza che le persone hanno acquisito con la loro scansione nei ristoranti e in altri luoghi pubblici, non credo che questa minaccia scomparirà presto. Spero che sia Google che Apple si impegnino a implementare soluzioni per proteggere gli utenti Android e iPhone dai codici QR dannosi. Sviluppare solidi meccanismi di sicurezza è fondamentale per garantire la sicurezza degli utenti in quest'era digitale.