Quishing: la trappola del codice QR
Un codice QR trappola nasconde l'indirizzo in un'immagine e porta a una falsa pagina di accesso. Come riconoscerlo e cosa fare prima di scansionare.
In 30 secondi
- Dove capita
- E-mail, SMS, false fatture, manifesti, menu, etichette dei prodotti, PDF o fogli di calcolo condivisi1.
- Cosa vuole l'attaccante
- Mandarla su una falsa pagina di accesso, oppure farle scaricare un software dannoso1.
- Il riflesso
- Prima di scansionare un codice, verifichi la sua origine attraverso un altro canale, ad esempio telefonando al mittente1.
Di cosa si tratta
Il quishing è un attacco di phishing che passa per un codice QR. Il codice è un'immagine: non mostra l'indirizzo che contiene, e l'utente non lo vede in anticipo1.
Per un dipendente, la trappola sta in un gesto banale. Si scansiona un codice ricevuto in un'e-mail, attaccato a un manifesto o inserito in un documento condiviso, e si arriva su una pagina che chiede di accedere o di pagare1.
Domande dirette
Che cos'è il quishing?
È phishing tramite codice QR. Proofpoint lo descrive come un attacco di ingegneria sociale che reindirizza le vittime verso siti dannosi o avvia il download di software dannoso. A differenza del phishing classico, che si basa su link scritti per esteso, passa per un codice a immagine1.
Perché un codice QR è più difficile da valutare di un link?
Perché l'indirizzo è invisibile. Proofpoint osserva che l'utente non può vedere in anticipo l'URL contenuto nel codice, e questo rende lo strumento sfruttabile1.
Perché i filtri dell'azienda non lo vedono sempre?
Secondo Proofpoint, il quishing aggira i filtri della posta elettronica1. Tim Bedard, di IBM Expert Labs, citato nella stessa pagina, spiega che gli strumenti di sicurezza delle e-mail cercano nei messaggi link sospetti già noti, ma non analizzano le immagini per trovare link nascosti in un codice QR1. Esistono soluzioni specializzate: estraggono i codici QR dalle e-mail e dagli allegati come i PDF, decodificano l'indirizzo e ne valutano il rischio1.
Il mio telefono personale è coinvolto?
Sì. Proofpoint scrive che questa tattica rende le organizzazioni vulnerabili sia attraverso i dispositivi aziendali sia attraverso quelli personali1. La pagina non approfondisce questo punto.
Cosa fare prima di scansionare?
Proofpoint consiglia di confermare la legittimità di un codice con il mittente tramite un altro canale, come una telefonata, prima di scansionare un codice ricevuto per e-mail, per SMS o in un luogo pubblico1. La CISA aggiunge una regola generale: se un messaggio potrebbe essere reale, non clicchi su nessun link e non chiami nessun numero che contiene, ma cerchi un altro modo per contattare l'azienda o la persona2.
Cosa fare se il codice sembra sospetto?
La CISA raccomanda di segnalare il messaggio e poi di eliminarlo senza rispondere2. L'NCSC britannico ricorda che segnalare un messaggio fraudolento è gratuito e richiede un minuto, e che ha il potere di indagare su indirizzi e siti fraudolenti per farli rimuovere3. In un'azienda, Proofpoint raccomanda canali chiari perché i dipendenti possano segnalare un codice sospetto senza timore di ritorsioni1. Da parte sua, l'NCSC osserva che i dipendenti che temono per il proprio posto di lavoro non segnalano i propri errori4.
1Nei panni dell'attaccante1 min
Secondo Proofpoint, il metodo segue quattro fasi1.
- Creare il codice. Strumenti online gratuiti producono codici QR che puntano a un sito di phishing o a un dominio che ospita software dannoso.
- Diffonderlo. Il codice viene inserito in un'e-mail di phishing, su una falsa fattura, su un manifesto, in un menu di ristorante, oppure incollato sopra un codice QR legittimo.
- Spingere ad agire in fretta. I messaggi invitano a un'azione immediata, ad esempio "Scan to unlock a discount" o "Verify your account".
- Sfruttare la scansione. La vittima arriva su una falsa pagina di accesso, su un raccoglitore di credenziali o su un download di software dannoso.
MITRE ATT&CK classifica il phishing tra le tecniche di accesso iniziale. Descrive la falsificazione dell'identità del mittente, che può ingannare sia il destinatario sia gli strumenti di sicurezza automatici, e il "thread hijacking" (dirottamento di conversazione): l'attaccante include il bersaglio in una conversazione esistente i cui messaggi contengono file o link dannosi5. La pagina MITRE consultata non parla di codici QR: questi stratagemmi sono quelli del phishing in generale.
2Cosa si vede sullo schermo1 min
Il messaggio tipico chiede di scansionare un codice, spesso con un motivo urgente. Proofpoint cita "Scan to avoid account suspension" come esempio di esca basata sull'urgenza1. I codici si presentano anche come avvisi di "verifica dell'account" o avvisi di spedizione, con una banca, un'amministrazione pubblica o un fornitore come mittente apparente1.
Nei luoghi pubblici, Proofpoint cita i menu dei ristoranti, i parchimetri, i manifesti dei negozi e i volantini di eventi, con promesse di sconti, accesso WiFi o contenuti esclusivi1. In azienda, i codici possono nascondersi in PDF o fogli di calcolo interni che si spacciano per sondaggi o materiali di formazione1.
Una volta aperta la pagina, la CISA elenca i segnali classici del phishing: un linguaggio urgente o emotivo, una richiesta di informazioni personali o finanziarie, indirizzi abbreviati non affidabili, indirizzi o link errati come "amazan.com"2. Proofpoint cita invece "arnazon.com"1. La CISA precisa che il vecchio segnale degli errori di ortografia non è più affidabile: nell'era dell'intelligenza artificiale, alcune e-mail hanno una grammatica perfetta2.
L'NCSC avverte che nessuna formazione permette di riconoscere tutti i tentativi, e che esaminare ogni e-mail nei dettagli non lascerebbe abbastanza ore per il lavoro4.
3Sotto il cofanoTeam IT1 min
Un codice QR è una matrice leggibile da una macchina che può contenere fino a 7.089 caratteri numerici o URL, accessibile con la fotocamera di uno smartphone o con un'app di lettura. La sua progettazione include una correzione degli errori, che gli consente di funzionare anche se parzialmente danneggiato1.
Sul versante della difesa, Proofpoint descrive diversi livelli. I motori di analisi usano modelli di visione artificiale per trovare i codici QR nelle e-mail, decodificare gli indirizzi e valutarne il rischio. La sandbox online estrae i codici dagli allegati e simula la visita agli indirizzi in un ambiente isolato prima della consegna. Secondo Microsoft, citata da Proofpoint, questo controllo prima della consegna ha bloccato circa 1,5 milioni di tentativi di quishing al giorno nel 20241.
Contro le credenziali rubate su queste false pagine, Proofpoint raccomanda l'autenticazione a più fattori, e i protocolli DMARC, SPF e DKIM contro le e-mail falsificate1. L'NCSC spiega che DMARC impedisce ai truffatori di falsificare il dominio di un'organizzazione, e che servono più livelli di difesa invece di affidarsi al solo occhio degli utenti, perché alcuni attacchi passeranno sempre4.
4AutopsieCasi reali1 min
2023: false fatture aziendali
Proofpoint riferisce di un attacco del 2023 che imitava fatture aziendali. I dipendenti venivano indirizzati a falsi portali di pagamento1. La pagina non nomina né l'azienda colpita né l'autore dell'attacco.
2024: menu di ristorante ricoperti
Secondo Proofpoint, una campagna del 2024 ha preso di mira catene di ristoranti sovrapponendo codici QR dannosi ai menu stampati. I clienti venivano reindirizzati a pagine di raccolta di credenziali che imitavano programmi fedeltà1. Anche qui, la fonte non indica il nome della catena.
Questi due casi provengono da un'unica fonte commerciale, che non fornisce cifre sulle vittime. L'NCSC britannico ha anche pubblicato l'8 febbraio 2024 un articolo intitolato "QR Codes - what's the real risk?", di cui la pagina consultata riproduce soltanto il titolo e una frase di presentazione3.
Scheda
- Identificativo
- CP-006
- Ala
- 1. Attacchi e tecniche
- Competenza Brain
- Riconoscere il phishing (detect_phishing)
- Riflesso Brain
- cr-006
- Schema
- G1 · Catena d'attacco (Kill Chain)
- Lingue
- de, en, es, fr, it
- Fonti
- 5 fonti verificate il 3 novembre 2026
Fonti5 fonti
- Proofpoint, «What Is Quishing (QR Phishing)? Definition | Proofpoint US», 31 marzo 2025. https://www.proofpoint.com/us/threat-reference/quishing (consultato il 3 novembre 2026)
- CISA, «Recognize and Report Phishing | CISA». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Phishing scams: how to spot and report them», 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/ (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Quishing: la trappola del codice QR», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp006_it_2026,
author = {Brain},
title = {Quishing: la trappola del codice QR},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/},
note = {CC BY 4.0}
}