QR code malevolo: identificarlo e difendersi
Il QR Code (dall’inglese Quick Response) è una grande innovazione che ha cambiato il modo di navigare sul web per molti utenti. Questo strano quadrato composto da disegni amorfi in bianco e nero, è un metodo di codifica delle informazioni contenute in una stringa di testo.
Lo si trova principalmente sulla carta stampata o sulle etichette di alcuni prodotti. Lo scopo più comune per cui viene impiegato è quello di agevolare la fruizione di un portale web aziendale. Il procedimento è piuttosto semplice e sfrutta la fotocamera dello smartphone o di un tablet, per scansionare il codice e aprire automaticamente l’indirizzo del sito internet senza doverlo digitare.
Come nasce un QR Code
Generare un QR Code è diventato ormai un gioco da ragazzi. Esistono, infatti, moltissime app dedicate a questo scopo che sono in grado di prendere un testo, un indirizzo web o una e-mail e di convertirli istantaneamente in un codice visivo composto da pixel bianchi e neri.
Una volta generato il codice sarà possibile stamparlo su volantini, etichette, cartelloni pubblicitari e altri mezzi di divulgazione cartacea. I generatori di QR sono gratuiti e possono essere addirittura scaricati sul cellulare per renderne l’uso ancora più immediato.
I rischi di utilizzare un codice QR
L’utente medio utilizza il QR Code perché è comodo e permette di non perdere tempo a digitare un complesso url, eliminando così il rischio di commettere errori di battitura.
L’immediatezza di utilizzo e la facilità con cui si possono generare i codici QR, unite all’effettiva illeggibilità del contenuto criptato, possono però costituire un potenziale rischio per la sicurezza, abusabile dai cybercriminali.
Le informazioni contenute nel QR Code non sono conosciute fintanto che non viene eseguita la scansione con un’applicazione apposita (che spesso attiva automaticamente il reindirizzamento al portale web); questo impedisce all’utente di conoscere l’url in anticipo, privandolo della possibilità di dedurne il contenuto.
Quello che si tende a fare, infatti, è fidarsi del contesto in cui il QR Code viene inserito, ma così facendo non vi è la certezza assoluta che il codice non contenga link a siti malevoli.
Un malintenzionato potrebbe, ad esempio, sfruttare un volantino di una banca (quindi presumibilmente affidabile) e sostituire il QR Code presente (che dovrebbe riportare al sito dell’istituto di credito) con uno generato ad hoc per indirizzare verso un portale malevolo, in tutto e per tutto simile a quello della banca, ma creato allo scopo di rubare i dati di accesso.
Queste vulnerabilità per la sicurezza non sono facilmente percepibili, soprattutto se non si “mastica” un po’ di informatica e non si ha la minima idea di come funzionano i suddetti codici visivi.
Difendersi dalle frodi tramite QR Code
Demonizzare i QR Code non è certo lo scopo di questo articolo, ma bisogna rendere i consumatori consapevoli dei rischi e “armarli” con ciò che serve per evitare di farli trovare in situazioni spiacevoli.
Ecco quindi alcune linee guida e “buone abitudini” da adottare prima di utilizzare un codice QR:
- se un QR Code risulta fuori contesto, è bene evitare di scansionarlo;
- munirsi di app per la lettura di codici affidabili (per es. QR Code Reader o QR Droid), possibilmente caratterizzate da buone recensioni;
- controllare che l’app abbia integrata la funzione di visualizzazione della stringa di testo decriptata e che, soprattutto, non apra automaticamente eventuali url;
- diffidare dei short link (abbreviazioni di link tipo ly e simili).
Seguendo questi semplicissimi accorgimenti sarà possibile utilizzare con maggiore sicurezza i QR Code, sfruttandone a pieno i vantaggi.
