Sbirciatina QR
La fotocamera di un telefono apre un codice QR quasi appena lo vede. Questo lettore si ferma un passo prima. Decodifica il codice, mostra cosa c’è scritto e cosa ne farebbe un telefono, e lascia a te la decisione.
Sui telefoni si avvia la fotocamera posteriore quando scegli “Scansiona con la fotocamera”. Da un computer va bene uno screenshot o una foto del codice: trascina il file, oppure incollalo con Ctrl+V (⌘+V su Mac).
🔒 Decoding takes place on your device. Camera frames and pictures stay in your browser, and what the code says is not passed to anyone.
Un codice QR è un breve testo
Quei quadratini bianchi e neri compongono dei caratteri, qualche migliaio al massimo, con una correzione degli errori che permette di leggere il codice anche se una parte è sporca o coperta da un logo. Dentro non c’è altro. Nessun programma, nessuna destinazione nascosta. Il problema nasce da ciò che fa dopo il dispositivo che scansiona. Se il testo comincia con https://, il telefono propone di aprirlo. Altri prefissi avviano altre azioni, e nessuno può capire quali guardando i quadratini.
Per questo le truffe si sono spostate sui codici QR. Un link in un’e-mail passa dai filtri antispam e puoi passarci sopra col mouse per controllarlo. Stampa lo stesso link come codice su un parchimetro, sul tavolo di un ristorante o su un falso avviso di consegna, e salta i filtri e viene aperto su un telefono, dove la barra degli indirizzi mostra pochissimo.
I tipi di contenuto che il lettore riconosce
| Comincia con | Cosa farebbe un telefono | Cosa controllare |
|---|---|---|
http://, https://, www. | Aprire una pagina web | Il dominio in grassetto |
WIFI: | Collegarsi a una rete wireless | Chi gestisce la rete; le reti aperte e WEP vengono segnalate |
BEGIN:VCARD, MECARD: | Aggiungere un contatto | I campi e-mail e sito web |
mailto:, SMSTO:, sms:, tel: | Preparare un messaggio o una chiamata | Il destinatario; numeri brevi e a tariffa maggiorata vengono segnalati |
otpauth:// | Aggiungere un account a un’app di autenticazione | Che sia tu a configurarlo |
bitcoin:, ethereum: e simili | Preparare un trasferimento di criptovaluta | Tutto, perché non si può annullare |
000201…, BCD, upi:// | Preparare un pagamento con carta, bancario (SEPA) o UPI | Nome del beneficiario e importo |
geo:, BEGIN:VEVENT | Aprire una mappa, aggiungere un evento al calendario | Niente di particolare |
Tutto il resto viene mostrato come testo semplice. Se in quel testo c’è un indirizzo web nascosto, riceve lo stesso esame di un link. Un codice che contiene un indirizzo javascript:, data: o file: viene segnato in rosso.
Come viene esaminato un link
La maggior parte dei codici contiene un indirizzo web, e il lettore lo smonta senza richiederlo.
- Dominio. Il dominio registrabile appare in grassetto e viene controllato per alfabeti misti, caratteri invisibili e somiglianza con marchi noti, con lo stesso motore del rilevatore di caratteri sosia. Tutto ciò che sta prima di una
@viene segnalato, perchéhttps://city-parking.example@payments.example.net/ti porta su payments.example.net. - Cifratura. Un indirizzo in semplice
http://è giallo. - Accorciatori. Vengono riconosciuti una cinquantina di servizi come bit.ly, tinyurl.com e qrco.de. La vera destinazione è salvata sul server dell’accorciatore e non si può leggere dal codice. Per bit.ly, aggiungere
+in fondo all’indirizzo mostra una pagina di anteprima. TinyURL hapreview.tinyurl.com. - Parametri di tracciamento.
utm_source,fbclid,gclide i loro parenti vengono elencati, e ricevi una seconda copia dell’indirizzo senza di essi. - Parole legate ai pagamenti. Se l’indirizzo parla di pagare, di parcheggio, di una multa, di un pedaggio o di una fattura, una nota ti ricorda di controllare che non ci sia un adesivo incollato sopra il codice originale.
Il testo decodificato non diventa mai un link cliccabile, con un’eccezione. I normali indirizzi web ricevono in fondo un link “Apri comunque”, che apre una nuova scheda senza inviare il referrer.
Cosa la lettura del codice non può dirti
Il lettore vede l’indirizzo, non la pagina. Un dominio scritto senza alcun difetto può comunque ospitare la copia di un modulo di accesso bancario. Per controllare la destinazione stessa, incolla l’indirizzo nella verifica dei siti pericolosi o seguilo passo per passo con il tracciamento dei reindirizzamenti. Entrambi partono dal nostro server, non dal tuo telefono.
Non vede nemmeno il mondo fisico. Passa un dito sul codice di una macchina pubblica, perché un adesivo ha un bordo. Per qualsiasi pagamento, la strada più sicura è l’app del gestore o un indirizzo web che digiti tu.
Fai molta attenzione ai codici otpauth://. Contengono il segreto da cui vengono generati i tuoi codici di accesso. Scansionane uno solo sulla pagina di sicurezza di un servizio dove stai attivando tu stesso la verifica in due passaggi. Nessuno di onesto te ne manderà uno per “verificare il tuo account”.
La decodifica usa il rilevatore di codici a barre integrato nel browser, se c’è. Altrimenti viene caricato da questo sito un piccolo decodificatore open source. In entrambi i casi l’immagine resta sul tuo dispositivo, e la fotocamera, che richiede il tuo permesso, si spegne appena un codice viene letto.
Domande frequenti
Scansionare un codice QR può infettare il mio telefono?
Leggere un codice è innocuo, perché restituisce solo testo. Il rischio comincia con ciò che succede dopo, come aprire una pagina di phishing, collegarsi a una rete Wi-Fi sconosciuta o approvare un pagamento. Se guardi prima il contenuto, come fa questa pagina, non succede niente che tu non abbia scelto.
Come scansiono un codice QR che si trova sul mio schermo?
Fai uno screenshot, poi trascina l’immagine su questa pagina, sceglila con il pulsante dei file o incollala con Ctrl+V (⌘V su Mac). L’immagine viene decodificata in locale.
Cos’è il quishing?
Phishing che arriva tramite un codice QR. Una forma tipica è un adesivo su un parchimetro o una colonnina di ricarica che porta a una falsa pagina di pagamento. Un’altra è un’e-mail che ti chiede di scansionare un codice per “mantenere attivo il tuo account”, così passi da un computer di lavoro protetto a un telefono personale.
Perché il lettore dice che non ha trovato nessun codice QR?
Probabilmente il codice è troppo piccolo nell’inquadratura, sfocato o tagliato. Ritaglia l’immagine attorno al codice, lascia un margine bianco sui quattro lati e riprova. I codici diversi dal QR, come i normali codici a barre dei prodotti o i Data Matrix, non vengono letti.
Un codice QR che usa un accorciatore di link è pericoloso?
Non per forza. Molti generatori di QR fanno passare ogni codice dal proprio dominio breve, così la destinazione si può cambiare in seguito. Però significa che il codice non ti dice niente di dove arriverai, e la destinazione può cambiare dopo la stampa. Usa la funzione di anteprima dell’accorciatore, oppure il tracciamento dei reindirizzamenti.
L’immagine della fotocamera lascia il mio dispositivo?
No. I fotogrammi vengono analizzati nel browser e poi scartati. Nemmeno il contenuto decodificato viene trasmesso.