24.01.2023 - I codici QR stanno diventando sempre più popolari e vengono impiegati per vari scopi; non contengono soltanto i link alle pagine Internet, ma servono anche per organizzare interi processi di logistica. Questo sistema è stato inserito anche nelle fatture e dal 1° ottobre 2022 in Svizzera vengono accettate esclusivamente fatture con codice QR. Indubbiamente, i codici QR vengono sfruttati anche dagli aggressori, come mostrato da due casi segnalati all'NCSC la scorsa settimana.
Settimana 3: da fatture manipolate ad abbonamenti trappola – aumento delle varianti di truffa con codici QR
Business e-mail compromise: fatture contraffatte ora anche con codice QR
Sempre più spesso gli aggressori setacciano i conti hackerati alla ricerca di fatture inviate o mandati di pagamento per copiarli e manipolarli. I truffatori modificano il numero IBAN del conto sul quale deve essere versato l'importo e inviano nuovamente la fattura alla vittima a nome del vero emittente. Con un pretesto qualsiasi affermano che il conto del beneficiario è stato modificato e che la somma deve essere versata sul nuovo conto, ossia quello degli impostori.
Finora per questo tipo di truffa (nota come «business e-mail compromise» o BEC) gli aggressori si erano limitati a falsificare le fatture modificando il numero IBAN oppure comunicando al destinatario che l'importo doveva essere versato su un altro conto. Il caso segnalato la scorsa settimana è però diverso: la fattura è stata manipolata in modo da sembrare autentica. Non è stato modificato soltanto l'IBAN, ma anche il codice QR. Inoltre, l'importo doveva essere versato su un conto svizzero e ciò ha reso la truffa più difficile da riconoscere per la vittima.
- Sensibilizzate tutti i collaboratori in merito alle truffe del BEC. Occorre informare in particolare i collaboratori delle divisioni finanziarie e il personale che occupa posizioni chiave.
- Non date seguito a ordini di pagamento insoliti.
- In caso di richieste inconsuete, verificatene la correttezza chiedendo chiarimenti telefonici in azienda.
- Tutti i processi che riguardano il traffico dei pagamenti dovrebbero essere disciplinati in modo chiaro all’interno dell’azienda e sempre rispettati da tutto il personale (ad es. principio del doppio controllo, firma collettiva a due)..
Quando il codice QR rimanda improvvisamente alla pagina sbagliata
La scorsa settimana l’NCSC ha ricevuto segnalazioni riguardanti una lettera informativa inviata per posta da un'impresa. Per facilitare la risposta, le lettere contenevano un codice QR che rimandava alla pagina del feedback, senza dover digitare un indirizzo. Tuttavia, alcuni destinatari si sono lamentati con il mittente perché sono finiti su una pagina sospetta sulla quale venivano richiesti i dati della carta di credito.
Inizialmente il contesto non era chiaro. Una manipolazione del codice QR è stata rapidamente esclusa. Il codice QR era identico in tutte le lettere, anche in quelle delle persone che hanno constatato un comportamento dubbio. Il sospetto è ricaduto perciò sullo scanner per codici QR, in particolare perché tutte le persone interessate avevano sempre utilizzato lo stesso. L'NCSC l'ha pertanto esaminato in dettaglio. La procedura di scansione non presentava però anomalie e il link era stato ripreso correttamente. Tuttavia, ogni volta che si accedeva alla pagina linkata, in basso compariva una pubblicità. Alcuni di questi banner mirano a confondere l'utente e a fargli credere che siano parte ufficiale dell'applicazione.
Concretamente, oltre al link corretto «aprire il collegamento» (di colore blu chiaro poco appariscente), in basso c'è un pulsante «start», che è invece di colore verde appariscente. Se si è stressati e non si legge attentamente la pagina, inevitabilmente si clicca sul pulsante più evidente. È proprio questo l'obiettivo delle persone che inseriscono questi banner. Acquistano pubblicità con lo scopo di confondere gli utenti e indurli così a cliccare su link sospetti - in questo caso un abbonamento trappola. L'offerente che mette a disposizione lo spazio pubblicitario finanziando così l'applicazione, può fare ben poco, in quanto commissiona la pubblicità a terzi e non ha nessun controllo sul contenuto.
I banner "occupano" poco posto e quindi vengono a malapena notati.
- Per scansionare i codici QR utilizzate un'applicazione affidabile e sicura. In questo modo, il dispositivo vi chiederà di confermare l'operazione prima di eseguire la scansione del codice QR. Sia nei dispositivi Apple che in quelli con sistema operativo Android, la fotocamera è in grado di riconoscere i codici QR.
- Dopo la scansione e prima dell'apertura, la maggior parte degli «scanner» mostra quale operazione viene eseguita o a quale pagina si sarà indirizzati. Verificate queste informazioni.
- Non inserite mai i dati di login a un sito Internet che avete aperto tramite un codice QR.
- Prima di scansionare un codice QR, osservatelo e toccatelo per assicurarvi che non sia un adesivo incollato sull'originale.
- Se scansionate un codice QR con un contenuto dannoso, avvertite immediatamente il proprietario della rivista, del sito Internet ecc. in cui lo avete trovato.
Ulteriori informazioni si trovano sul sito dell’NCSC:
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria:
Ultima modifica 24.01.2023
