Phishing con QR code: come proteggere la tua azienda

La tua azienda utilizza codici QR senza sapere quali sono stati manomessi? Il phishing tramite codice QR – comunemente chiamato “quishing” – trasforma una comodità quotidiana in una trappola per il furto di credenziali, e i filtri di sicurezza tradizionali spesso lo ignorano completamente. Questa guida illustra come funzionano questi attacchi, quanto costano alle aziende e i controlli specifici che puoi implementare per fermarli.

Come funziona il phishing tramite codice QR

Il phishing tramite codice QR sfrutta una debolezza fondamentale: i codici QR non sono leggibili dall'uomo. Con un URL tradizionale, un occhio esperto può spesso individuare un dominio falsificato o una stringa sospetta. Un codice QR nasconde tutto questo. Come spiega Alex Mosher, vicepresidente globale di MobileIron:

“I codici QR nascondono intrinsecamente la loro destinazione. Pertanto, la capacità di alterare un codice QR per puntare a una risorsa alternativa senza essere rilevati è semplice ed estremamente efficace.”

Gli aggressori incorporano URL dannosi all'interno di codici QR che reindirizzano le vittime a pagine di accesso false progettate per raccogliere credenziali, o a siti che attivano download di malware. A complicare il problema, molti sistemi di sicurezza e-mail non possono decodificare le immagini dei codici QR – vedono un'immagine, non un link – quindi il payload sfugge ai filtri che intercetterebbero un semplice URL di phishing.

Nel 2023, il phishing tramite codice QR ha rappresentato il 22% di tutti gli attacchi di phishing. Una campagna di quishing su larga scala è cresciuta del 2.400% in pochi mesi, e l'analisi di un'operazione mirata alle aziende ha rilevato che circa il 29% delle e-mail dannose conteneva codici QR.

Dove gli aggressori inseriscono codici QR dannosi

Attacchi tramite e-mail e documenti sono il metodo di consegna più comune. Gli aggressori incorporano codici QR all'interno di allegati PDF o Word per aggirare i filtri di sicurezza e-mail. Nel 2023, l'82% degli attacchi di quishing ha impersonato marchi affidabili – Microsoft è stata presa di mira nel 51% dei casi osservati, seguita da DocuSign al 31% e Adobe al 15%. Tra la metà e la fine del 2024, i ricercatori hanno scoperto oltre 500.000 e-mail di phishing contenenti codici QR incorporati in PDF.

Manomissione fisica è altrettanto pericolosa. Gli aggressori posizionano adesivi con codici QR fraudolenti sopra codici legittimi in luoghi ad alto traffico – ristoranti, parchimetri, aeroporti e spazi commerciali. A San Francisco, i criminali hanno posizionato codici QR contraffatti su multe di parcheggio che indirizzavano gli utenti a una falsa pagina di transito progettata per rubare i dettagli delle carte di credito. La Social Security Administration avverte specificamente che i codici QR legittimi sulla segnaletica ufficiale di solito non sono adesivi; un codice applicato come adesivo dovrebbe essere trattato come sospetto.

Esca di ingegneria sociale completano il quadro. Le vittime sono invitate a scansionare un codice QR per richiedere uno sconto, connettersi al Wi-Fi gratuito o completare un sondaggio. In un caso documentato a Singapore, una donna ha scansionato un codice in un negozio di bubble tea aspettandosi un premio fedeltà. Invece, un'app dannosa è stata scaricata sul suo telefono e gli aggressori hanno prosciugato 2.000 dollari dal suo conto bancario.

Quanto costano questi attacchi alle aziende

Furto di credenziali e dati

Quasi il 90% degli attacchi di quishing sono progettati specificamente per rubare credenziali di accesso e dati sensibili. Gli aggressori reindirizzano le vittime a repliche convincenti di Microsoft 365, SharePoint o portali bancari. I dirigenti sono presi di mira in modo sproporzionato perché le loro credenziali sbloccano sistemi critici e dati privilegiati.

I dispositivi personali peggiorano la situazione. Quando i dipendenti scansionano codici QR su telefoni non registrati nella gestione aziendale, i team IT non hanno visibilità su ciò che è accaduto o su ciò a cui si è avuto accesso.

Perdite Finanziarie

Il costo medio di una violazione dei dati ha raggiunto $4.45 milioni nel 2023, con le truffe di Business Email Compromise che hanno registrato una media di $4.89 milioni – prima di considerare le multe normative e le spese legali. Le perdite dirette da phishing sono aumentate del 76% anno su anno. Incidenti individuali illustrano la portata: una truffa in una stazione ferroviaria del Regno Unito ha lasciato una vittima con un debito di 13.000 sterline; una famiglia di Calgary ha perso $10.000 a causa di una truffa con codice QR su Facebook Marketplace.

Le piccole imprese assorbono una quota sproporzionata dei danni. Nel Regno Unito, le piccole imprese affrontano circa 65.000 attacchi informatici al giorno, con un costo medio per risolvere un attacco riuscito di circa $33.700.

Interruzione Operativa e Danno Reputazionale

Le credenziali rubate servono frequentemente come punto di ingresso per la diffusione di ransomware. Nel 2023, le organizzazioni hanno speso in media $1.82 milioni per riprendersi da incidenti di ransomware. Le aziende di costruzione e ingegneria affrontano un rischio di attacco tramite codice QR 19,2 volte superiore alla media; le aziende di servizi professionali affrontano un rischio 18,5 volte superiore.

Oltre ai tempi di inattività operativa, le aziende affrontano l'abbandono dei clienti, premi assicurativi di cybersecurity più elevati e un controllo normativo quando i dati dei clienti vengono esposti. Ricostruire la fiducia dopo una violazione richiede molto più tempo che risolvere l'incidente tecnico stesso.

Come Prevenire il Phishing tramite Codice QR: Un Approccio a Strati

Nessun singolo controllo elimina il quishing. La raccomandazione costante da parte di ricercatori di sicurezza, agenzie federali e team di sicurezza aziendale è una difesa a strati che combina il filtraggio delle email, i controlli di identità, la protezione degli endpoint, la formazione dei dipendenti e i flussi di lavoro di segnalazione.

Controlli di Sicurezza Email

Configurare i sistemi di sicurezza email con funzionalità che vanno oltre la scansione standard dei link. I controlli efficaci includono:

• Filtraggio con capacità OCR che decodifica le immagini dei codici QR all'interno delle email e analizza l'URL incorporato rispetto all'intelligence sulle minacce
• Politiche anti-phishing tarate per segnalare payload basati su immagini, in particolare codici QR incorporati in allegati PDF o documenti Office
• Regole rigorose del gateway antispam che trattano i codici QR non richiesti nelle email come ad alto rischio per impostazione predefinita

In particolare per gli ambienti Microsoft 365, Microsoft Defender per Office 365 include la decodifica delle immagini dei codici QR per rilevare gli URL incorporati per il controllo della reputazione e la valutazione dei collegamenti sicuri.

Controlli di identità e accesso

Le credenziali rubate sono utili solo se possono essere utilizzate. I controlli di identità a più livelli riducono significativamente tale rischio:

• Autenticazione a più fattori (MFA) su tutti gli account, con requisiti di autenticazione più stringenti per gli utenti con privilegi elevati e i dirigenti
• Metodi MFA resistenti al phishing come chiavi di sicurezza hardware o passkey, che sono legate al dominio legittimo e non possono essere intercettate da un sito fraudolento
• Blocco dei protocolli di autenticazione legacy che non supportano l'MFA, eliminando una comune via di bypass
• Criteri di accesso condizionale che segnalano o bloccano i tentativi di accesso da dispositivi non gestiti

Per un contesto più approfondito su come i codici QR si intersecano con i flussi di lavoro di autenticazione, vedere come i codici QR semplificano l'autenticazione a più fattori.

Protezione degli endpoint e dei dispositivi

I dispositivi gestiti con sicurezza degli endpoint aggiornata forniscono una rete di sicurezza fondamentale:

• Implementare il rilevamento e la risposta degli endpoint (EDR) su tutti i dispositivi gestiti
• Abilitare i controlli di reputazione del browser (come Microsoft SmartScreen) che avvisano gli utenti prima che raggiungano un dominio di phishing noto
• Applicare i criteri di gestione dei dispositivi mobili (MDM) che impongono le baseline di sicurezza sui telefoni utilizzati per scansionare i codici QR per lavoro
• Limitare i download da dispositivi non gestiti sulle reti aziendali

La FTC consiglia di mantenere aggiornati i sistemi operativi dei dispositivi e di utilizzare password complesse e uniche per tutti gli account come igiene fondamentale che riduce l'impatto di qualsiasi tentativo di phishing riuscito.

Formazione e Consapevolezza dei Dipendenti

I vostri dipendenti sono la linea di difesa più diretta contro il quishing, e la formazione deve essere esplicita – la consapevolezza generale sul phishing non si trasferisce automaticamente alle minacce dei codici QR.

I programmi di formazione efficaci coprono:

• Perché i codici QR sono pericolosi: la destinazione è nascosta fino a dopo la scansione
• Segnali di allarme nelle e-mail contenenti codici QR: urgenza, saluti generici, messaggi non richiesti da marchi noti e richieste di credenziali di accesso
• Segni di manomissione fisica: codici applicati come adesivi su materiali stampati, codici su segnaletica non ufficiale
• Abitudini di verifica: se un codice QR arriva in un'e-mail inaspettata, contattare il mittente tramite un numero di telefono noto o un sito web ufficiale anziché scansionare il codice
• Ispezione dell'URL: dopo la scansione, controllare l'URL nella barra del browser prima di inserire qualsiasi credenziale – cercare errori di ortografia, lettere scambiate o domini sconosciuti

Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti raccomanda di formare gli utenti finali a mantenere un sano grado di scetticismo e a riconoscere indicatori come indirizzi del mittente sospetti, link contraffatti e grammatica impropria – tutti elementi che compaiono nelle campagne di phishing basate su QR proprio come in quelle basate su testo.

Eseguire esercizi di quishing simulati insieme a simulazioni di phishing standard. Mirare a gruppi ad alto rischio – dirigenti, team finanziari e chiunque abbia privilegi amministrativi – con scenari più frequenti e realistici.

Per una visione più ampia di le migliori pratiche di sicurezza dei codici QR nella difesa informatica, inclusa la crittografia e l'accoppiamento dell'autenticazione, quella guida copre i controlli tecnici in modo più approfondito.

Segnalazione e Risposta agli Incidenti

I dipendenti hanno bisogno di un modo chiaro e a basso attrito per segnalare codici QR sospetti – sia nelle e-mail che negli spazi fisici. Un pulsante di segnalazione phishing nei client di posta elettronica elimina l'attrito per le segnalazioni digitali. Per i codici fisici, fornire indicazioni su come segnalare e fotografare adesivi sospetti o materiali manomessi.

Il tuo piano di risposta agli incidenti dovrebbe affrontare specificamente gli scenari di quishing con passaggi definiti:

• Isola qualsiasi account che potrebbe aver inviato credenziali tramite un codice QR dannoso
• Revoca le sessioni attive e reimposta immediatamente le password
• Verifica accessi non autorizzati o movimenti di dati nell'intervallo tra la scansione e la risposta
• Notifica le persone interessate in base alla tua politica di notifica delle violazioni
• Conduci una revisione post-incidente per identificare come il codice QR ha aggirato i controlli esistenti

Esegui penetration testing che includa scenari di quishing per trovare le lacune prima che lo facciano gli attaccanti.

Codici QR che la tua azienda implementa: Proteggere i tuoi codici

Prevenire il quishing significa anche assicurarsi che i codici QR pubblicati dalla tua azienda non possano essere usati come arma contro i tuoi clienti o dipendenti.

Usa codici QR dinamici invece di quelli statici. I codici statici codificano permanentemente un URL di destinazione. Se quella destinazione viene mai compromessa, il codice diventa una responsabilità che non puoi risolvere senza ristampare. Codici QR dinamici puntano a un URL di reindirizzamento breve che controlli – puoi aggiornare la destinazione, reindirizzare a una nuova pagina o disabilitare completamente il codice da una dashboard di gestione senza toccare il materiale stampato.

Mantieni sotto controllo i tuoi codici QR pubblicati Se sospetti che uno dei tuoi codici distribuiti sia stato manomesso o punti a un luogo non sicuro, puoi aggiornarlo o disabilitarlo istantaneamente. Usa il Generatore di QR code dinamici per gestire tutti i tuoi codici da una dashboard centralizzata con analisi delle scansioni in tempo reale.

Applica un branding coerente ai tuoi codici. Il settantuno percento delle persone non riesce a distinguere in modo affidabile un codice QR falso da uno legittimo. I codici QR brandizzati – con il tuo logo, i colori aziendali e un dominio personalizzato nell'URL di destinazione – danno agli utenti un segnale visivo che il codice è autentico. I codici QR generici in bianco e nero con URL brevi opachi non offrono tale garanzia.

Monitora le analisi delle scansioni per anomalie. I codici QR dinamici raccolgono dati di scansione inclusi timestamp, tipi di dispositivo e posizioni geografiche. Un picco improvviso di scansioni da regioni inaspettate, o attività di scansione al di fuori del normale orario lavorativo, può indicare che uno dei tuoi codici è stato copiato e ridistribuito in modo malevolo. La dashboard di analisi di Pageloot evidenzia questi schemi in modo che tu possa indagare e rispondere rapidamente.

Per uno sguardo dettagliato su quali dati di scansione raccolgono i tuoi codici e come interpretarli responsabilmente, vedi comprendere quali dati tracciano i tuoi codici QR dinamici.

Conduci audit fisici regolari. Per qualsiasi codice QR visualizzato in spazi pubblici o semi-pubblici – tavoli di ristoranti, segnaletica per eventi, display di veicoli o vetrine di negozi – ispeziona fisicamente i codici con regolarità. Cerca adesivi posizionati sopra il codice originale e testa la destinazione di ogni codice prima che i clienti lo incontrino.

Utilizza esclusivamente destinazioni HTTPS. Ogni URL a cui i tuoi codici QR si collegano dovrebbe usare HTTPS. Inviare gli utenti a una destinazione HTTP non crittografata mina la fiducia ed espone i dati in transito.

Per ulteriori indicazioni su rischi per la privacy dei codici QR e come evitarli, incluso come bilanciare l'analisi con la privacy dell'utente, quella risorsa copre le considerazioni sui dati che le aziende spesso trascurano.

Valutazione degli Strumenti di Rilevamento

La formazione dei dipendenti e i controlli della piattaforma affrontano una parte significativa del rischio, ma gli strumenti di rilevamento dedicati aggiungono un ulteriore livello – in particolare per le organizzazioni con un elevato volume di email o implementazioni complesse di codici QR. Se stai valutando le opzioni, strumenti progettati per rilevare il phishing tramite codice QR vanno dalle piattaforme di analisi comportamentale aziendale agli add-on per gateway di posta elettronica e alle app di scansione mobile con controlli di reputazione integrati.

La giusta combinazione dipende dal tuo stack di sicurezza esistente, dal volume di codici QR che ricevi rispetto a quelli che distribuisci, e se la manomissione fisica è una preoccupazione significativa per le tue sedi. Il quishing non è una minaccia ipotetica. Rappresenta una quota significativa dell'attività di phishing nel mondo reale, aggira i controlli che la maggior parte delle organizzazioni ha già in atto e colpisce in modo sproporzionato le aziende e gli utenti meno attrezzati per riconoscerlo. Colmare il divario richiede un'azione deliberata attraverso la sicurezza della posta elettronica, i controlli di identità, la formazione dei dipendenti e i codici QR che pubblichi tu stesso.

Inizia con i controlli che puoi implementare immediatamente – MFA, consapevolezza dei dipendenti e passaggio dei tuoi codici pubblicati alla gestione dinamica – quindi costruisci verso la difesa a strati che rende gli attacchi di quishing costantemente inefficaci contro la tua organizzazione.

Domande frequenti