5️⃣ sicurezza
Questa è la parte che ci interessa di più, ma era doveroso fare un piccolo excursus sulla nascita e la diffusione.
Un QR code è una scorciatoia, un metodo veloce per arrivare ad un'informazione.
Prima prendevo una multa, mi arrivava a casa il foglio, andavo in posta e la pagavo.
Poi è bastato usare la chiavetta per ebanking.
Poi lo smartphone.
Comodo.
Un ulteriore step nella comodità è il non dover ricevere carta a casa (che salva anche da situazioni imbarazzanti, a volte); quindi la multa con il tuo bel codice in 2D, te la trovi attaccato al tergicristallo della macchina.
Inquadri, ti danno le informazioni, paghi.
Comodo.
Ora, mettiamo che io voglia essere una persona bruttissima e cattivissima.
Mettiamo che abbia tempo da perdere per ricreare esattamente la pagina landing sulla quale vi trovate una volta scansionato* il codice. E mettiamo anche che, al posto dell'iban della tesoreria della polizia locale, metta il mio.
Cosa mi impedisce di ricevere il pagamento?
Niente.
Un minimo di spiegazione in più, per i non addetti ai lavori.
Falsificare una pagina ha la sua complessità, l'URL richiede dei voli pindarici che non sono impossibili da portare a termine:
labanca.it non è la stessa cosa di lαbαncα.it
Anche l'utilizzo di caratteri cirillici, a volte, può indurre in errore una persona che non effettua un controllo approfondito sull'URL di destinazione.
Molti dispositivi adesso, alla scansione, mostrano l'URL di landing, quindi esiste un layer di sicurezza in più.
E raccomando sempre di verificare, prima di cliccare o prima di atterrare su quella pagina.
Ma che succede se non vedo l'URL di destinazione?
Che succede se, invece, l'URL è un redirect?
Che succede se, mentre l'URL farlocco che ho messo va in redirect su quello giusto, il mio browser viene in qualche modo manipolato?
Succede che non ho grosse difese e rischio parecchio.
Rischio di pagare una multa al cuGGino del truffatore, rischio di trovarmi un infostealer sul telefono..
Torniamo al ristorante, abbiamo optato per la tagliata con rosmarino e sale Maldon.
Abbiamo ordinato. Perfetto.
Ma il sito dal quale ho ordinato, è veramente quello del ristorante? Ho controllato?
Oppure mi sono lasciato persuadere che fosse quello perché sono seduto al suo interno?
E se il concorrente sleale avesse appiccicato sul tavolo il QR code che porta ad un sito simile, ma con i piatti sbagliati?
Vi introduco uno scenario alla Inception, perché possiate valutare da soli.
Dirigente molto importante di azienda, si reca ogni settimana allo stesso ristorante. Mangia bene, buoni prezzi e la qualità non si discute. Conosce il proprietario da anni e si fida, al punto che, quando pranza in quel ristorante, il proprietario gli riserva una saletta appartata.
Ordina spesso lo stesso piatto, è abitudinario. Ma non viene mai deluso dal gusto.
Non mangia da solo, ha un assistente o due, un collaboratore o magari invita un possibile cliente.
Il ristoratore introduce il QR code per ordinare, perché ha molte spese e non riesce a stare dietro ai costi delle materie prime che contraddistinguono il suo locale; a volte l'approvvigionamento è difficile ma non vuole deludere i clienti, soprattutto i dirigenti - che costituiscono una buona fetta dell'introito settimanale.
Il dirigente si abitua al QR code, ma fa ordinare dall'assistente, perché lui ha altro da fare.
Un giorno, l'assistente scansiona il codice a barre tridimensionale.
Ordina il solito piatto.
Mangiano.
Pagano.
Tornano in ufficio.
Collegamento dello smartphone alla rete aziendale, magari al computer per ricaricarlo (perché il device lo ricarico al lavoro e non devo farlo a casa mia, con la mia corrente).
Trojan.
Sipario.
*scusate, ma io la parola "scannerizzato" non la posso usare, non ce la faccio. È come "hackerare", non la uso, semplicemente, preferendole l'old school "hackato".
@AccademiaCrusca chiedo venia se ho errato!