--- id: CP-006 slug: quishing-codice-qr-trappola lang: it title: "Quishing: la trappola del codice QR" description: Un codice QR trappola nasconde l'indirizzo in un'immagine e porta a una falsa pagina di accesso. Come riconoscerlo e cosa fare prima di scansionare. canonical_url: https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/ markdown_url: https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Quishing: la trappola del codice QR», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-006 schema: G1 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/ fr: https://startbrain.io/cyberpedia/fr/articles/quishing-qr-code-pieges/ en: https://startbrain.io/cyberpedia/en/articles/quishing-qr-code-phishing/ de: https://startbrain.io/cyberpedia/de/articles/quishing-qr-code-falle/ es: https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa/ nl: https://startbrain.io/cyberpedia/nl/articles/quishing-qr-code-valkuil/ sources: - "n": 1 title: What Is Quishing (QR Phishing)? Definition | Proofpoint US publisher: Proofpoint url: https://www.proofpoint.com/us/threat-reference/quishing published: "2025-03-31" accessed: "2026-11-03" - "n": 2 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 5 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Quishing: la trappola del codice QR Il quishing è un attacco di phishing che passa per un codice QR. Il codice è un'immagine: non mostra l'indirizzo che contiene, e l'utente non lo vede in anticipo [1]. Per un dipendente, la trappola sta in un gesto banale. Si scansiona un codice ricevuto in un'e-mail, attaccato a un manifesto o inserito in un documento condiviso, e si arriva su una pagina che chiede di accedere o di pagare [1]. ## In 30 secondi - Dove capita: e-mail, SMS, false fatture, manifesti, menu, etichette dei prodotti, PDF o fogli di calcolo condivisi [1]. - Cosa vuole l'attaccante: mandarla su una falsa pagina di accesso, oppure farle scaricare un software dannoso [1]. - Il riflesso: prima di scansionare un codice, verifichi la sua origine attraverso un altro canale, ad esempio telefonando al mittente [1]. - Se l'ha già fatto: non inserisca credenziali né dati di pagamento finché l'autenticità del sito non è confermata [1]. Segnali il messaggio, poi lo elimini senza rispondere [2]. ## Domande dirette ### Che cos'è il quishing? È phishing tramite codice QR. Proofpoint lo descrive come un attacco di ingegneria sociale che reindirizza le vittime verso siti dannosi o avvia il download di software dannoso. A differenza del phishing classico, che si basa su link scritti per esteso, passa per un codice a immagine [1]. ### Perché un codice QR è più difficile da valutare di un link? Perché l'indirizzo è invisibile. Proofpoint osserva che l'utente non può vedere in anticipo l'URL contenuto nel codice, e questo rende lo strumento sfruttabile [1]. ### Perché i filtri dell'azienda non lo vedono sempre? Secondo Proofpoint, il quishing aggira i filtri della posta elettronica [1]. Tim Bedard, di IBM Expert Labs, citato nella stessa pagina, spiega che gli strumenti di sicurezza delle e-mail cercano nei messaggi link sospetti già noti, ma non analizzano le immagini per trovare link nascosti in un codice QR [1]. Esistono soluzioni specializzate: estraggono i codici QR dalle e-mail e dagli allegati come i PDF, decodificano l'indirizzo e ne valutano il rischio [1]. ### Il mio telefono personale è coinvolto? Sì. Proofpoint scrive che questa tattica rende le organizzazioni vulnerabili sia attraverso i dispositivi aziendali sia attraverso quelli personali [1]. La pagina non approfondisce questo punto. ### Cosa fare prima di scansionare? Proofpoint consiglia di confermare la legittimità di un codice con il mittente tramite un altro canale, come una telefonata, prima di scansionare un codice ricevuto per e-mail, per SMS o in un luogo pubblico [1]. La CISA aggiunge una regola generale: se un messaggio potrebbe essere reale, non clicchi su nessun link e non chiami nessun numero che contiene, ma cerchi un altro modo per contattare l'azienda o la persona [2]. ### Cosa fare se il codice sembra sospetto? La CISA raccomanda di segnalare il messaggio e poi di eliminarlo senza rispondere [2]. L'NCSC britannico ricorda che segnalare un messaggio fraudolento è gratuito e richiede un minuto, e che ha il potere di indagare su indirizzi e siti fraudolenti per farli rimuovere [3]. In un'azienda, Proofpoint raccomanda canali chiari perché i dipendenti possano segnalare un codice sospetto senza timore di ritorsioni [1]. Da parte sua, l'NCSC osserva che i dipendenti che temono per il proprio posto di lavoro non segnalano i propri errori [4]. ## Nei panni dell'attaccante Secondo Proofpoint, il metodo segue quattro fasi [1]. - Creare il codice. Strumenti online gratuiti producono codici QR che puntano a un sito di phishing o a un dominio che ospita software dannoso. - Diffonderlo. Il codice viene inserito in un'e-mail di phishing, su una falsa fattura, su un manifesto, in un menu di ristorante, oppure incollato sopra un codice QR legittimo. - Spingere ad agire in fretta. I messaggi invitano a un'azione immediata, ad esempio "Scan to unlock a discount" o "Verify your account". - Sfruttare la scansione. La vittima arriva su una falsa pagina di accesso, su un raccoglitore di credenziali o su un download di software dannoso. MITRE ATT&CK classifica il phishing tra le tecniche di accesso iniziale. Descrive la falsificazione dell'identità del mittente, che può ingannare sia il destinatario sia gli strumenti di sicurezza automatici, e il "thread hijacking" (dirottamento di conversazione): l'attaccante include il bersaglio in una conversazione esistente i cui messaggi contengono file o link dannosi [5]. La pagina MITRE consultata non parla di codici QR: questi stratagemmi sono quelli del phishing in generale. ## Cosa si vede sullo schermo Il messaggio tipico chiede di scansionare un codice, spesso con un motivo urgente. Proofpoint cita "Scan to avoid account suspension" come esempio di esca basata sull'urgenza [1]. I codici si presentano anche come avvisi di "verifica dell'account" o avvisi di spedizione, con una banca, un'amministrazione pubblica o un fornitore come mittente apparente [1]. Nei luoghi pubblici, Proofpoint cita i menu dei ristoranti, i parchimetri, i manifesti dei negozi e i volantini di eventi, con promesse di sconti, accesso WiFi o contenuti esclusivi [1]. In azienda, i codici possono nascondersi in PDF o fogli di calcolo interni che si spacciano per sondaggi o materiali di formazione [1]. Una volta aperta la pagina, la CISA elenca i segnali classici del phishing: un linguaggio urgente o emotivo, una richiesta di informazioni personali o finanziarie, indirizzi abbreviati non affidabili, indirizzi o link errati come "amazan.com" [2]. Proofpoint cita invece "arnazon.com" [1]. La CISA precisa che il vecchio segnale degli errori di ortografia non è più affidabile: nell'era dell'intelligenza artificiale, alcune e-mail hanno una grammatica perfetta [2]. L'NCSC avverte che nessuna formazione permette di riconoscere tutti i tentativi, e che esaminare ogni e-mail nei dettagli non lascerebbe abbastanza ore per il lavoro [4]. ## Sotto il cofano Un codice QR è una matrice leggibile da una macchina che può contenere fino a 7.089 caratteri numerici o URL, accessibile con la fotocamera di uno smartphone o con un'app di lettura. La sua progettazione include una correzione degli errori, che gli consente di funzionare anche se parzialmente danneggiato [1]. Sul versante della difesa, Proofpoint descrive diversi livelli. I motori di analisi usano modelli di visione artificiale per trovare i codici QR nelle e-mail, decodificare gli indirizzi e valutarne il rischio. La sandbox online estrae i codici dagli allegati e simula la visita agli indirizzi in un ambiente isolato prima della consegna. Secondo Microsoft, citata da Proofpoint, questo controllo prima della consegna ha bloccato circa 1,5 milioni di tentativi di quishing al giorno nel 2024 [1]. Contro le credenziali rubate su queste false pagine, Proofpoint raccomanda l'autenticazione a più fattori, e i protocolli DMARC, SPF e DKIM contro le e-mail falsificate [1]. L'NCSC spiega che DMARC impedisce ai truffatori di falsificare il dominio di un'organizzazione, e che servono più livelli di difesa invece di affidarsi al solo occhio degli utenti, perché alcuni attacchi passeranno sempre [4]. ## Autopsie ### 2023: false fatture aziendali Proofpoint riferisce di un attacco del 2023 che imitava fatture aziendali. I dipendenti venivano indirizzati a falsi portali di pagamento [1]. La pagina non nomina né l'azienda colpita né l'autore dell'attacco. ### 2024: menu di ristorante ricoperti Secondo Proofpoint, una campagna del 2024 ha preso di mira catene di ristoranti sovrapponendo codici QR dannosi ai menu stampati. I clienti venivano reindirizzati a pagine di raccolta di credenziali che imitavano programmi fedeltà [1]. Anche qui, la fonte non indica il nome della catena. Questi due casi provengono da un'unica fonte commerciale, che non fornisce cifre sulle vittime. L'NCSC britannico ha anche pubblicato l'8 febbraio 2024 un articolo intitolato "QR Codes - what's the real risk?", di cui la pagina consultata riproduce soltanto il titolo e una frase di presentazione [3]. ## Fonti 1. Proofpoint, «What Is Quishing (QR Phishing)? Definition | Proofpoint US», 31 marzo 2025. https://www.proofpoint.com/us/threat-reference/quishing (consultato il 3 novembre 2026) 2. CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultato il 3 novembre 2026) 3. NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026) 4. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.