Uno dei cyberattacchi più diffusi e insidiosi è quello del phishing, di cui abbiamo già parlato in questo articolo https://neide.it/cose-il-phishing/ che consigliamo di rivedere.

Quando si parla di informatica, sappiamo benissimo che le cose si evolvono velocemente, questo purtroppo vale anche per questo tipo di strumenti. Si stanno diffondendo infatti delle nuove campagne che attraverso qualche trucchetto rischiano di vanificare gli accorgimenti verso la nostra personale sicurezza informatica. Sono le cosiddette campagne di Quishing.

Cos’è il Quishing?

Il Quishing è una campagna di phishing che utilizza i QR Code per indirizzare la vittima su un form dove inserire le proprie credenziali, permettendo quindi a chi ha creato il codice di accedere a tali informazioni ed eventualmente venderle ad esempio al mercato nero. Il modus operandi è lo stesso che conosciamo, tuttavia al giorno d’oggi la maggior parte delle soluzioni per la sicurezza della casella postale possiede già un QR Scanner, normalmente dovrebbe quindi bloccare in automatico questo tipo di email.

Perché allora è così pericoloso?

Ovviamente i cybercriminali hanno trovato il modo di aggirare queste misure di sicurezza utilizzando sostanzialmente due codici QR.

Come funziona?

Vengono utilizzati due servizi completamente legittimi, prenderemo il caso di SharePoint e me-qr.com, ma ne esistono di equivalenti. Il primo è un servizio di condivisione dei contenuti dove si troverà la Landing Page, ovvero la pagina fittizia in cui inserire le credenziali, me-qr.com è invece un sito dove poter creare e gestire i QR-codes.

Il procedimento è il seguente: l’utente riceve una mail con un allegato .PDF in cui è presente il QR code che punta a me-QR.com, ed è quest’ultimo poi ad effettuare lo scan del QR Code originale, il quale altrimenti sarebbe stato bloccato dalla casella di posta. L’utente si trova quindi reindirizzato alla pagina di SharePoint, magari pensando che il QR code

sia legittimo, avendo superato i controlli.

Come ci si può difendere?

Ora che sappiamo come funziona e quali controlli può aggirare questo tipo di attacco, i consigli per difendersi sono gli stessi utilizzati per una qualsiasi campagna di phishing.

Sii sospettoso di ogni email in arrivo e usa il buon senso quando ci sono allegati da aprire!

Vuoi difendere la tua azienda e i tuoi dipendenti dagli attacchi di Phishing? Contattaci ora, effettueremo un test per valutare la situazione ed eventualmente procederemo con un mini corso per formare i tuoi dipendenti su questo tipo di minacce!