Il phishing veicolato tramite codici QR ha raggiunto livelli record nella prima metà del 2026, quando il cosiddetto quishing ha rappresentato circa l'11% di tutte le email di phishing rilevate, con una media di 100.000 detection mensili. Il dato è incluso nell'ESET Threat Report H1 2026. Nel solo primo trimestre dell'anno, Microsoft ha certificato un incremento del 146% dei tentativi di attacco veicolati da QR code, con un passaggio da 7,6 milioni di rilevamenti a gennaio a 18,7 milioni a marzo.

I dati geografici pubblicati da ESET collocano gli Stati Uniti capolista dei paesi più colpiti con il 19% dei rilevamenti, seguiti da Spagna (17%) e Messico (6%); Regno Unito, Repubblica Ceca, Canada, Polonia e Italia si attestano su valori più contenuti, fra il 5% e il 3% ciascuno. La rinnovata popolarità del quishing è diretta conseguenza dell'adozione capillare dei codici QR nella vita quotidiana, che sono ormai onnipresenti nei menu dei ristoranti, nei check-in alberghieri, come metodo per i pagamenti contactless e molto altro.

Il motivo per il quale ai cybercriminali piace il quishing è che sfrutta un vuoto strutturale nei sistemi di ispezione della posta elettronica: i gateway email tradizionali sono progettati per estrarre, riscrivere, verificare i link testuali all'interno del corpo del messaggio e altri elementi, ma non i codici QR, che sono immagini con dati codificati incorporati. Nel momento in cui il gateway non decodifica quell'immagine e non analizza l'URL di destinazione, la catena di reindirizzamento malevola può raggiungere il destinatario senza essere intercettata. Lo stesso vale per l'occhio umano, che non ha modo di leggere l'indirizzo a cui si verrà collegati prima della scansione e dell’effettiva attivazione del link.

Fonte: ESET

La catena d'attacco

Il vettore d'ingresso più comune resta l'email aziendale. Gli attaccanti incorporano il codice QR in allegati PDF, notifiche di fatturazione, avvisi di condivisione documentale, richieste di riautenticazione per account Microsoft 365 e persino messaggi vocali fittizi. Secondo i ricercatori di ESET, una quota significativa delle campagne osservate nella prima metà del 2026 ha impersonato comunicazioni interne dell'ufficio risorse umane, in particolare su temi legati a stipendi e benefit aziendali, che sono tipicamente temi capaci di generare curiosità immediata e ridurre la soglia di attenzione del destinatario.

Il tranello in genere si può intuire dall’urgenza: quasi sempre la richiesta di scansionare il codice è associata alla necessità di completare un'attività urgente. Un altro aspetto vincente è lo spostamento dell’attenzione dal dispositivo aziendale (il computer protetto da endpoint detection, browser isolation, policy di identità e altro), a un dispositivo mobile che spesso è personale e privo di controlli totali o parziali.

Quando l’attacco è bene architettato, il codice QR instrada la vittima attraverso una sequenza di URL shortener, sistemi di distribuzione del traffico, gate CAPTCHA e pagine di verifica del browser e infine collega la vittima alla pagina di raccolta credenziali. Il percorso è complesso per superare gli ostacoli posti dalle difese; per esempio, il CAPTCHA serve per filtrare gli scanner di sicurezza automatizzati e per garantire che la pagina fraudolenta venga visualizzata solo da un essere umano. È da notare poi la cura del dettaglio: la pagina finale è ottimizzata per la navigazione mobile e riproduce fedelmente le interfacce di Microsoft 365, Google Workspace, Okta, portali bancari o sistemi aziendali di single sign-on.

Il PDF è stato un vettore dominante. Secondo Microsoft, il 70% delle campagne di QR phishing diffuse via email e registrate prima del mese di marzo era distribuito attraverso allegati PDF. Nello stesso mese, i codici QR incorporati direttamente nel corpo HTML dell'email sono cresciuti del 336%, il che indica la necessità di monitorare la tendenza allo spostamento verso tecniche di elusione più raffinate. Questi numeri hanno fatto sì che Microsoft Threat Intelligence classificasse il QR phishing come il vettore di attacco con la più rapida crescita nel primo trimestre del 2026.

Un dato rilevante da tenere presente è che il cybercrime non ha più l’esclusiva sugli attacchi veicolati tramite quishing: secondo la telemetria di ESET, gruppi APT hanno iniziato a impiegare codici QR malevoli in campagne di spearphishing mirato, tanto da spingere l'FBI a diffondere un avviso specifico sull'utilizzo di questa tecnica da parte del gruppo nordcoreano Kimsuky.

Inoltre, ESET ha documentato campagne che collocano codici QR fraudolenti su parchimetri, biciclette a noleggio condiviso e finti verbali di sosta o di violazione al codice della strada, spesso sovrapposti con adesivi ai codici legittimi. Il risultato è che chi scansiona il codice per pagare un servizio o una presunta multa finisce per inserire i dati della propria carta di credito su un sito fraudolento.

Fonte: Microsoft

Le contromisure

Secondo gli esperti, le aziende dovrebbero trattare ogni codice QR ricevuto via email come un URL a tutti gli effetti e le piattaforme di sicurezza email dovrebbero essere dotate della capacità di analisi ottica delle immagini e di decodifica QR; Una volta decodificato, l'URL va poi sottoposto a verifica di reputazione, sandboxing, analisi della catena di reindirizzamento e controllo dell'età del dominio, con lo stesso rigore riservato ai link testuali.

Sul fronte identità, le organizzazioni sono esortate ad adottare meccanismi di autenticazione multifattore resistenti al phishing, preferibilmente basati su chiavi di sicurezza FIDO2 o passkey. La formazione degli utenti resta comunque un tassello imprescindibile, e deve concentrarsi sul trigger comportamentale specifico di questa tecnica: evitare di scansionare codici QR ricevuti inaspettatamente via email, soprattutto quando il messaggio richiede autenticazione urgente, approvazione di pagamenti o accesso a documenti riservati.