Non fidarti di un QR finché non è stato verificato.

Il quishing è il phishing tramite codice QR: un attaccante stampa, incolla adesivi, invia via email o DM un codice QR che, una volta scansionato, apre una pagina di furto delle credenziali, una transazione di wallet drainer, una rete WiFi aperta come trappola, o un intent Android che installa malware in modo non autorizzato. Il QR stesso è solo un'immagine, quindi i filtri sui link email e gli avvisi del browser non lo vedono finché il telefono della vittima non ha già aperto la destinazione. La difesa deve avvenire al momento della scansione, prima che il telefono segua il link.

Tre differenze. Il vettore d'attacco è fisico o visivo — un adesivo su un QR del parchimetro, un volantino stampato che imita un'iscrizione MFA, un QR del menu del ristorante sostituito di notte — quindi bypassa completamente i gateway email. Le vittime si fidano dei QR code più di quanto si fidino dei link nelle email; un QR sembra una destinazione scelta da chi ha stampato il supporto. E i QR dinamici instradati attraverso un abbreviatore possono essere reindirizzati verso una destinazione di phishing dopo che l'asset stampato è stato distribuito, quindi un QR sicuro al momento della stampa può diventare ostile mesi dopo. Gli scanner di link statici rispondono "questo URL è attualmente malevolo", non "chi può cambiare dove punta".

Non puntare la fotocamera nativa del telefono: apre immediatamente la destinazione. Apri invece check.qr.abundera.ai sul tuo telefono, scansiona il QR tramite la fotocamera nella pagina (la decodifica avviene localmente; l'immagine non lascia mai il dispositivo) e leggi il verdetto. Percorriamo ogni hop di redirect, classifichiamo se la destinazione è controllabile da terzi dopo che il QR è stato stampato, e verifichiamo la reputazione tramite Google Safe Browsing e altri aggregatori. I verdetti Superato sono sicuri da aprire; i verdetti Attenzione e Non procedere spiegano il motivo.

Adesivi su parchimetri e colonnine EV che coprono il QR legittimo con uno che punta a una pagina di furto di dati della carta di credito, il pattern più segnalato del 2024-2025, osservato ad Austin, San Antonio e in tutto il Regno Unito. QR del menu del ristorante sostituiti con pagine di phishing di notte da un attaccante che ha fisicamente rimpiazzato il segnaposto da tavolo. Volantini aziendali di iscrizione MFA nei bagni degli uffici dall'aspetto ufficiale che però registrano il dispositivo dell'attaccante. QR di inviti a nozze distribuiti mesi prima dell'evento, dove una compromissione dell'account dell'abbreviatore consente a un attaccante di reindirizzare migliaia di cartoline stampate. QR di pagamento crypto ai terminali punto vendita sovrapposti con l'indirizzo del wallet dell'attaccante. Il filo comune: il QR stampato è identico a quello sicuro.

Gli strumenti esistenti classificano se un URL è attualmente malevolo. Noi classifichiamo anche se la destinazione è controllabile da terzi dopo che il QR è stato stampato, una proprietà che chiamiamo mutabilità. Un QR dinamico pulito instradato attraverso un abbreviatore è comunque ad alto rischio per un adesivo su un parchimetro o un invito a nozze: il titolare dell'account dell'abbreviatore può cambiare la destinazione in qualsiasi momento. Mostriamo questa postura di controllo come campo di verdetto di primo piano accanto al verdetto sul contenuto della minaccia.

No. Il payload decodificato viaggia verso il nostro server tramite HTTPS in modo che possiamo percorrere la catena e interrogare i database di reputazione — è una necessità funzionale, non una scelta — ma non viene mai conservato. I verdetti sono memorizzati nella cache tramite un hash SHA-256 di un discriminatore specifico per tipo di payload concatenato con un salt segreto mantenuto dal server. Il payload originale non è ricostruibile da nessuna voce della cache.

qr.abundera.ai è un generatore che promette tutto lato client: nulla lascia il dispositivo. Questo checker di sicurezza trasmette il payload decodificato al server per necessità. Separiamo le due superfici in modo che la promessa solo-client resti pulita sul dominio del generatore, e la superficie con modello di privacy invertito rimanga chiaramente etichettata qui.

Livello Pro. Invia un QR per il monitoraggio, e ripetiamo il percorso della catena periodicamente. Email quando cambiano i target di redirect, la destinazione finale, o l'insieme degli operatori dei servizi di indirezione. Questo intercetta il pattern di quishing più comune nel mondo reale: stampare un QR pulito, cambiare la destinazione in phishing mesi dopo, raccogliere le scansioni dall'asset stampato.

Sì, nel livello Pro. L'API è RESTful, restituisce un verdetto JSON strutturato con tipo di payload, classe di minaccia, mutabilità, catena di redirect, attribuzione del controllo per hop e risultati dei sub-payload. Progettata per l'integrazione in app wallet, suite di sicurezza mobile, filtraggio URL enterprise e arricchimento delle anteprime link di Slack / Teams aziendali.

Non al momento. Il classificatore è a codice chiuso mentre il lavoro brevettuale sottostante è in fase di esame. Potremmo pubblicare implementazioni di riferimento degli algoritmi divulgati dopo la concessione. Il contratto API è pubblico e stabile.