Un'email di phishing con QR code ti chiede di scansionare un codice, di solito per "riverificare" un account, firmare un documento o reimpostare una password. Gli attaccanti usano i QR code perché i filtri email possono avere difficoltà a leggere il link dentro un'immagine, e perché la scansione ti sposta sul telefono, dove le pagine di accesso false sono più difficili da riconoscere.
Il phishing esiste da quando esiste l'email, ma la variante con QR code, spesso chiamata quishing, è una novità più recente. Invece di un link blu su cui passare con il mouse, c'è un'immagine quadrata. Questa guida spiega perché gli attaccanti amano questo metodo, che aspetto hanno di solito queste email e cosa possono fare dipendenti e aziende per proteggersi.
Perché gli attaccanti mettono QR code nelle email
Dal punto di vista di un criminale, un QR code risolve diversi problemi in un colpo solo.
- Nasconde il link. Le persone non sanno leggere un QR code, quindi non notano a colpo d'occhio un indirizzo web sospetto.
- Può sfuggire ai filtri. Molti strumenti di sicurezza email confrontano i link testuali con elenchi di siti malevoli noti. Un link dentro un'immagine è più difficile da analizzare, anche se gli strumenti moderni analizzano sempre più spesso anche le immagini.
- Ti sposta su un altro dispositivo. Leggi l'email su un portatile di lavoro protetto dalla sicurezza aziendale, ma scansioni con un telefono personale che potrebbe avere meno protezioni.
- Lo schermo piccolo nasconde i dettagli. Sul telefono la barra degli indirizzi è corta e una pagina di accesso falsa sembra molto simile a quella vera.
- Sembra moderno e ufficiale. Banche, compagnie aeree e datori di lavoro usano i QR code, quindi un codice in un'email non desta automaticamente sospetti.
Che aspetto ha un'email di phishing con QR code
Queste email variano, ma di solito seguono schemi familiari. Temi ricorrenti:
- "La tua password scade oggi. Scansiona per mantenere la password attuale."
- "L'autenticazione a più fattori deve essere riattivata. Scansiona con il telefono."
- "Hai un documento condiviso in attesa. Scansiona per visualizzarlo."
- "I dettagli del tuo stipendio o del tuo bonus sono stati aggiornati."
- "Un pacco o una fattura richiedono la tua conferma."
Segnali d'allarme tipici:
- Urgenza: una scadenza ravvicinata o la minaccia di bloccare l'account.
- Un mittente strano: il nome visualizzato dice "Supporto IT" o un marchio noto, ma l'indirizzo email non corrisponde.
- Poco testo, codice grande: il messaggio è quasi solo un'immagine con un QR code e una breve istruzione.
- Saluti generici invece del tuo nome.
- Una pagina di accesso dopo la scansione: il codice porta a una pagina che chiede email e password di lavoro, o un codice usa e getta.
L'ultimo punto è il più importante. Un vero reparto IT raramente ha bisogno che tu acceda tramite un QR code inviato per email.
Cosa fare se ne ricevi una
Se sei un dipendente e ti arriva un'email sospetta con un QR code:
- Non scansionarla con il telefono.
- Non inoltrarla ai colleghi per chiedere se è vera, perché qualcuno potrebbe scansionarla.
- Segnalala con il pulsante di segnalazione phishing dell'azienda o contattando l'IT attraverso un canale noto.
- Controlla tu l'account. Se l'email parla della tua password o di un documento, vai direttamente al servizio dal solito indirizzo o dall'app.
- Eliminala dopo averla segnalata, se la procedura aziendale lo prevede.
Se hai già scansionato il codice e inserito i tuoi dati, agisci in fretta. Cambia la password, avvisa subito l'IT e segui i passaggi della nostra guida su cosa fare se hai scansionato un QR code malevolo.
Anche fuori dal lavoro valgono le stesse abitudini. Se vuoi sapere dove porta un codice senza aprirlo, uno scanner che mostra prima la destinazione, come lo scanner QR online di QR-TH, ti permette di guardare prima di cliccare.
Come le aziende proteggono i dipendenti
Nessuno strumento da solo blocca ogni tentativo di phishing con QR code. Una buona protezione combina tecnologia, procedure e persone.
Strumenti di sicurezza per l'email
- Usa una sicurezza email in grado di rilevare i QR code in immagini e allegati e di controllare i link che contengono
- Mantieni attivi il controllo dei link e la protezione di navigazione sicura sui dispositivi aziendali e, dove opportuno, sui telefoni gestiti
- Contrassegna chiaramente le email provenienti dall'esterno, soprattutto quelle che usano nomi che sembrano interni
Protezione forte degli accessi
- Richiedi l'autenticazione a più fattori per tutti gli account del personale
- Preferisci, dove possibile, metodi resistenti al phishing come passkey o chiavi di sicurezza, perché i codici usa e getta possono comunque essere carpiti su una pagina falsa
- Incoraggia le app di autenticazione al posto degli SMS. La nostra guida all'autenticazione a due fattori spiega le opzioni.
- Monitora gli accessi insoliti, come quelli da nuovi Paesi o dispositivi
Procedure chiare
- Rendi nota a tutti la regola: l'IT non chiederà mai di accedere tramite un QR code in un'email
- Offri un unico modo semplice per segnalare i messaggi sospetti e ringrazia chi lo usa
- Prepara un piano per reimpostare rapidamente le password e chiudere le sessioni quando qualcuno segnala un errore
Formazione che resta
- Mostra durante la formazione esempi realistici di email di phishing con QR code
- Insegna la domanda semplice: "Perché qui servirebbe un QR code?"
- Organizza simulazioni di phishing che includano QR code, seguite da un riscontro costruttivo invece che da rimproveri
I dipendenti che si sentono liberi di ammettere un errore lo segnalano prima, e questo limita i danni.
QR code legittimi nelle email
Non tutti i QR code nelle email sono malevoli. Biglietti per eventi, carte d'imbarco e alcuni abbinamenti per l'accesso li usano in modo legittimo. Di solito la differenza sta nel contesto: aspettavi l'email, riguarda qualcosa che hai fatto tu e il codice è qualcosa da mostrare o da usare in un'app nota, non un motivo per digitare la password su una pagina sconosciuta.
Le aziende che inviano QR code autentici possono aiutare spiegando a cosa serve il codice, inserendo accanto un link riconoscibile come alternativa e usando domini affidabili.
FAQ
Perché le email di phishing usano QR code invece dei link?
Perché il link resta nascosto sia alle persone sia ad alcuni filtri, e perché la scansione sposta la vittima sul telefono, dove i controlli di sicurezza e gli indizi visivi sono spesso più deboli.
Il mio provider email può bloccare il phishing con QR code?
Molti servizi di sicurezza email ormai analizzano le immagini alla ricerca di QR code e controllano i link, ma nessuno intercetta tutto. La tua prudenza resta un livello di difesa importante.
È sicuro scansionare un QR code in un'email della mia banca?
Meglio essere prudenti. Le banche raramente chiedono di accedere tramite un QR code in un'email. Apri l'app ufficiale della banca o digita tu l'indirizzo.
Cosa devo fare se ho inserito la password di lavoro dopo la scansione?
Cambia subito la password, avvisa il reparto IT o sicurezza e lascia che controllino eventuali accessi sospetti. La rapidità fa davvero la differenza.
Guarda prima di aprire
Il phishing con QR code funziona quando le persone scansionano senza pensarci. Fai del controllo un'abitudine: quando arriva un codice inatteso, usa lo strumento di QR-TH per scansionare un QR code online e vedere dove porta prima di aprire qualsiasi cosa.