Perché i truffatori hanno iniziato a mandarvi immagini di link

Uno scanner di link è una cosa semplice e implacabile. Legge gli URL di testo in un'email, li confronta con elenchi di domini noti come dannosi, segue i reindirizzamenti e contrassegna quelli che portano a qualcosa di brutto. È bravo nel suo lavoro. Allora i truffatori hanno fatto la cosa ovvia: hanno smesso di mandare link.

Hanno iniziato a mandare immagini di link.

Questo è il trucco dietro il "quishing" — phishing via codice QR. Un codice QR è un URL codificato come immagine in bianco e nero, quindi una destinazione come login-verify.example smette di essere testo nel corpo del messaggio e diventa pixel. Il punto non è che l'indirizzo sia crittografato; la fotocamera di chiunque lo decodifica istantaneamente. Il punto è che non è più scritto da nessuna parte in cui voi, o un parser di testo, possiate leggerlo prima di agire.

Se un filtro può comunque leggerlo dipende interamente dal prodotto. Il National Cyber Security Centre del Regno Unito espone il limite con parole attente nella sua nota di febbraio 2024 sui codici QR: "Non tutti gli strumenti di sicurezza progettati per rilevare email di phishing eseguiranno la scansione delle immagini." Notate cosa non dice. Non dice che nessuno di loro lo fa. Microsoft ha pubblicato l'altro lato della medaglia a novembre 2024: Defender for Office 365, ha scritto, "ha migliorato le sue capacità di estrarre URL dai codici QR," utilizzando l'elaborazione di immagini all'inizio del flusso di posta per "estrarre e registrare URL nascosti all'interno di codici QR," e ora estrae anche i metadati dei codici QR e cerca il modello circostante — testo minimo nel corpo, un amo di marca, una catena di reindirizzamenti. Quindi "il filtro non riesce a leggerlo" era vero per molti prodotti per un po', è ancora vero per alcuni, e non è una legge di natura. Se volete sapere se è vero per il vostro provider, quella è una domanda sul prodotto e la configurazione del vostro provider, non sui codici QR.

I numeri che si possono verificare provengono dallo stesso fornitore, e vale la pena leggerli con il contesto allegato. Il post di novembre 2024 di Microsoft descrive un'ondata con "alcuni attacchi in aumento a un tasso di crescita del 270% al mese," afferma che "al picco, Defender for Office 365 stava bloccando 3 milioni di tentativi al giorno," e che dopo che il rilevamento è stato distribuito "abbiamo visto questo numero scendere a 200.000 tentativi di phishing con codice QR al giorno." Il Digital Defense Report 2026 di Microsoft fornisce un totale sulla scala attuale: 145+ milioni di attacchi di phishing con codice QR rilevati tra luglio 2025 e giugno 2026 da Defender for Office 365. Tutte queste cifre sono la telemetria di un fornitore per il proprio prodotto, auto-segnalata. Non rappresentano una quota di tutto il phishing, e non sono un totale dell'industria — una versione precedente di questo articolo citava una quota del 25% che nessuna pubblicazione di Microsoft sembra supportare, e quella cifra è stata rimossa piuttosto che sostituita.

Ciò che rende la tecnica duratura è il passaggio, non la codifica. L'email arriva su un laptop, dove vivono il filtro aziendale, il browser gestito e il gestore di password. Il codice viene scansionato su un telefono, che di solito è un dispositivo personale. L'NCSC elenca questo tra i motivi per cui i criminali favoriscono il metodo: "I dispositivi personali potrebbero non avere le stesse protezioni di sicurezza di un computer fornito dal vostro datore di lavoro." Su un telefono la barra degli indirizzi si tronca, l'URL completo è difficile da ispezionare, e un gestore di password che avrebbe rifiutato il riempimento automatico su un dominio sbagliato non è coinvolto affatto.

I temi sono annoiosamente prevedibili, il che è di per sé un segnale, e compaiono negli avvisi ai consumatori quasi parola per parola. L'avviso di dicembre 2023 della FTC descrive truffatori che coprono il vero codice QR su un parchimetro con il loro adesivo, e avverte chiaramente: "Non scansionate un codice QR in un'email o in un messaggio di testo che non stavate aspettando," soprattutto uno che vi spinge ad agire immediatamente. L'annuncio di servizio pubblico dell'FBI IC3 di gennaio 2022 dice lo stesso sulla manomissione — "I criminali informatici manomettono sia i codici QR digitali che quelli fisici per sostituire codici legittimi con codici malevoli" — e dice alle persone di controllare i codici fisici per "un adesivo posizionato sopra il codice originale." Un codice per riabilitare l'autenticazione a più fattori in scadenza, una richiesta di firma che non stavate aspettando, un avviso di spedizione che vi chiede di confermare la consegna: l'obiettivo di progettazione è sempre una piccola ragione plausibile per sollevare il telefono prima che qualcosa sia controllato.

Quindi le mosse difensive sono quelle noiose, e sono quelle che le agenzie effettivamente pubblicano. Il consiglio dell'IC3, per un messaggio che vuole un pagamento o un accesso dopo una scansione: "chiamate l'azienda per verificare," usando "il numero di telefono dell'azienda attraverso un sito affidabile piuttosto che un numero fornito nell'email," e "evitate di effettuare pagamenti attraverso un sito a cui si accede da un codice QR. Invece, immettete manualmente un URL noto e affidabile." Niente di tutto questo richiede che voi giudichiate se un particolare quadrato è malevolo — che è la parte in cui nessun umano è bravo.

Una cosa che un codice QR in un'email non vi dice mai è se il messaggio è stato contraffatto. L'autenticazione del dominio risponde a una domanda completamente diversa, e l'attuale specifica DMARC esclude esplicitamente l'"analisi del contenuto" dal suo ambito — questo è il motivo per cui un messaggio completamente autenticato può contenere un'immagine malevola. Questo meccanismo merita una lettura a sé stante, ed è il soggetto di un articolo complementare in questa serie.

Correzione, 20 ottobre 2026. Una versione precedente di questo articolo diceva che un filtro di spam non può leggere un codice QR e che gli scanner sono ciechi all'indirizzo codificato. Questo è vero per alcuni prodotti di sicurezza della posta e non per altri: Microsoft ha documentato l'estrazione di URL dai codici QR in Defender for Office 365 a novembre 2024, e la formulazione dell'NCSC è che non tutti gli strumenti scansionano le immagini. L'articolo citava anche una cifra di circa il 25% del phishing di posta che utilizza codici QR, attribuita a Microsoft; nessuna pubblicazione di Microsoft che supportasse quella quota potrebbe essere trovata, quindi la cifra è stata rimossa e sostituita con cifre che Microsoft pubblica direttamente, con il loro prodotto e periodo indicati. Un dominio di phishing di dimostrazione che era stato reso come link attivo è stato sostituito con un esempio non cliccabile nello spazio dei nomi riservato .example, e una citazione alla home page della CISA è stata sostituita con i consigli specifici dell'FBI IC3 e della FTC.