Il virus c’è, ma non è nel Qr code

Su Twitter qualche settimana fa è iniziato a girare l’allarme: in giro ci sarebbe un Qr code infetto. In Rete ne hanno parlato TechCrunch, eConsultancy, Mashable, SuperMoneyNews, ma anche quotidiani come Repubblica. Cosa c’è di vero?
Vediamo le premesse: qualche tempo fa Karpersky Lab (produttore di software antivirus) ha riportato l’attacco di un trojan in un’applicazione che sfruttava una falla di Android. Il Trojan inviava SMS ad un numero premium Russo a colpi di alcuni dollari per messaggio. Il link per scaricare la app era “nascosto” in un Qr code. Scrivo “nascosto” perché come uomini non riusciamo a leggere il contenuto del codice se non tramite uno smartphone. Prontamente Google ha rimosso app dallo store. Il trojan poteva funzionare solo in Russia, in Italia ad esempio gli operatori hanno un controllo pressoché totale di queste numerazioni, non permettendo a chiunque di poterle utilizzare per truffe simili. Ma i dubbi sono rimasti. Per questo un po’ di chiarezza è doverosa.

C’è un virus nei Qr code?
I Qr code non possono contenere alcun virus. Un virus è un pezzo di codice nascosto che gira sullo smartphone (ad esempio in una app). Lo sottolineo: il Qr code in sé non può contenere alcun virus e, anche se fosse possibile, sarebbe di dimensioni spropositate tali da impedirne la lettura. In Qr code potrebbe al limite contenere un collegamento esterno, in maniera non tanto diversa da quello che si potrebbe trovare in comune messaggio di posta elettronica o su una pagina web. Nella peggiore delle ipotesi il Qr code una volta letto potrebbe portare a suggerire il download di un’applicazione che potrebbe essere appunto un Malware e pertanto la scelta di scaricare lo stesso ricade sul senso critico dell’utente nel compiere quella determinata azione valutando l’origine del Qr code, in maniera analoga a quanto farebbe leggendo una email o visitando un sito web. Il problema è nello scaricare l’applicazione, non nel Qr code stesso.

Quali sono i rischi possono insorgere dall’uso dei Qr code?
I rischi sono gli stessi che navigare su internet e installare applicazioni senza verificarne la provenienza. Viene sempre chiesta una vostra autorizzazione, siete voi ad avere il controllo. Basta prestare un poco di attenzione a quello che si fa, e nel dubbio documentarsi sulla provenienza dell’applicazione.

Nella percentuale di vulnerabilità, c’è differenza tra mondo Android e mondo iOs?
Il virus non esiste su iPhone: Apple verifica una per una le applicazioni del suo store con un occhio particolare alla sicurezza. Non è quindi possibile scaricare una app contenente un virus che ad esempio invia SMS senza il nostro consenso. In questo senso l’imbattersi in tali problematiche disponendo di un iPhone è quasi impossibile, proprio in virtù del fatto che vi è un controllo “umano” a monte di tutto il processo di rilascio delle app.
Per Android il discorso è differente: Google non controlla tutte le apps prima di pubblicarle sullo store. Ma quando si installa una app l’utente viene sempre avvisato da una serie di “permission warnings” che permettono di capire che tipo di attività vogliamo autorizzare (uso del telefono, SMS, Reboot e via dicendo) scaricando le responsabilità sull’utente finale.

Quindi il virus non è nel Qr code, ma al massimo nella app. Come difendersi?
Possiamo difenderci molto bene semplicemente prestando attenzione a non accettare download e installer dagli sconosciuti: se sto leggendo un qr code che dovrebbe portarmi ad una videoricetta, e mi compare la richiesta di installare un applicazione che chiede il controllo degli SMS o delle chiamate, mi devo insospettire e fermare. Esistono comunque in circolazione antivirus per dispositivi Android per proteggere anche gli utenti più ignari. Detto questo, leggere i Qr code è assolutamente sicuro.

Fonte:  Thebitzloft.com - Autore: Pierluigi Cremonesi