Come individuare QR code dannosi

Ti sei mai fatto qualche domanda su quei quadratini digitali che ti fissano dagli angoli di poster, articoli di riviste, scatole di cereali e innumerevoli altri prodotti?

Si chiamano QR code e sono stati originariamente sviluppati a metà degli anni novanta per essere utilizzati nell’industria automobilistica giapponese come un modo rapido e leggibile da una macchina per memorizzare informazioni su un particolare articolo, per produzione, inventariarlo o venderlo. Insomma una versione più efficiente e più ricca di dati dei codici a barre che vengono scansionati alla cassa ogni volta che acquisti qualcosa.

Ovviamente come tutte le cose buone, innocenti e utili, i QR code sono stati alla fine sfruttati dai marketer per vendere più cose alla gente. Vengono anche usati come biglietti virtuali per gli eventi, per facilitare i pagamenti e per accelerare l’autenticazione dell’accesso e l’installazione del software.

Sono sembrati diventare doppiamente di tendenza quando la popolarità degli smartphone è esplosa. All’improvviso, tutti hanno avuto accesso ad app in grado di scansionare i QR code.

E mentre era necessario scaricare app specifiche per la scansione del QR code per avere il privilegio di accedere a qualsiasi informazione programmata in quei piccoli quadratini, oggi molte app per fotocamere Android e iOS possono leggere i codici in modo nativo. In breve, i QR code sono diventati di moda.

Tuttavia, come sottolinea Naked Security, sito di notizie sulla sicurezza di Sophos, il creatore del QR code non immaginava che questo sistema venisse usato in così tanti ambiti diversi dall’impiego originario e, come tale, si è preoccupato per le possibili implicazioni di sicurezza:

Ha ragione a preoccuparsi. Gli aggressori potrebbero compromettere le persone in vari modi usando i QR code.

Ne è un esempio QRLjacking. Elencato come vettore di attacco da Open Web Application Security Project (OWASP), questo attacco è possibile quando qualcuno utilizza un QR code come password una tantum, visualizzandolo su uno schermo. L’organizzazione avverte che un utente malintenzionato potrebbe clonare il QR code da un sito legittimo a un sito di phishing e quindi inviarlo alla vittima.

Un’altra preoccupazione sono i QR code contraffatti. I criminali possono posizionare i propri QR code su quelli legittimi. Invece di indirizzare lo smartphone dell’utente alla pagina di marketing o offerta speciale prevista, il codice falso potrebbe indirizzare gli utenti ai siti web di phishing o a quelli che forniscono malware basati su JavaScript.

Diamo un’occhiata più da vicino all’esempio di un QR code contraffatto.

Se stai eseguendo la scansione di un QR code che dovrebbe portarti su un sito web legittimo, come puoi essere sicuro che ti stia effettivamente indirizzando verso un posto sicuro? Se stai utilizzando la funzione di scansione del QR code integrata nell’app della fotocamera predefinita o in molte altre app di scansione standard, la sfortunata realtà è che non puoi esserne sicuro. L’unico obiettivo di tali funzionalità è semplicemente decodificare il QR code e visualizzare un collegamento su cui fare clic.

Fortunatamente, abbiamo creato un’app gratuita che scansionerà i QR code e ti dirà se il sito a cui ti stanno inviando è sicuro o meno. Si chiama Sophos Mobile Security ed è disponibile per Android e per iPhone.

Ecco un breve video che mostra cosa succede quando si esegue la scansione di un QR code dannoso con uno scanner di QR code standard rispetto a ciò che accade quando si esegue la scansione con Sophos Mobile Security:

Noterai che l’app per fotocamera Android standard mostra semplicemente il link su cui fare clic, mentre il lettore di QR code di Sophos Mobile Security prima avverte all’utente.

Inoltre, Sophos Mobile Security fa molto di più che scansionare i QR code. È solo uno dei tanti strumenti gratuiti che offriamo sul nostro sito. Guarda tu stesso!

Tieni presente che il sito “dannoso” utilizzato nel video sopra è un sito di test che utilizziamo per valutare come i nostri vari prodotti di sicurezza reagiscono al malware. Non è un vero malware, ma ti darà un’idea di come lo scanner di codici QR di Sophos Mobile Security tratterà un codice QR dannoso nel mondo reale. A scopo di confronto, il codice QR nella parte superiore di questo post ti invia a Example.com – un sito sicuro.