Brushing, Quishing e le Nuove Minacce dei Pacchi Inattesi

Negli ultimi anni sono emersi nuovi schemi di truffa basati sull’invio di pacchi inattesi, che rappresentano una minaccia crescente sia per i cittadini che per le aziende. Due delle tecniche più diffuse sono il brushing e il quishing, modalità diverse ma spesso collegate di manipolazione e furto di dati personali. Approfondiamo come funzionano, perché sono così efficaci e quali contromisure mettere in campo per non cadere vittima di queste frodi.

Brushing: cos’è e come riconoscerlo

Il brushing è una pratica fraudolenta nella quale ricevi, senza averli mai ordinati, dei prodotti a casa tua direttamente da un marketplace o da un venditore online. A prima vista, potrebbe sembrare un semplice errore logistico, ma il vero scopo di questa truffa è ben diverso.

Perché avviene il brushing?

Falsificazione delle recensioni: Il venditore invia il prodotto a indirizzi reali per poi pubblicare recensioni positive a proprio nome, usando i tuoi dati. Così il venditore acquisisce credibilità e influenza le classifiche dei marketplace.
Test dei dati rubati: Il pacco arriva per “verificare” che le tue informazioni sottratte — nome, indirizzo e numero di telefono — siano attendibili e aggiornate.
Avviso di rischi aggiuntivi: Se i tuoi dati sono stati utilizzati in un brushing, è molto probabile che facciano già parte di elenchi venduti nel dark web, esponendoti anche a future truffe, phishing, o furti di identità.

Segnali a cui prestare attenzione

Pacchi a tuo nome e indirizzo, mai ordinati
Dati anagrafici stampati nel dettaglio sulle etichette
Richiesta di azioni aggiuntive, come registrare il prodotto o contattare un servizio clienti sconosciuto

Quishing: la variante moderna del phishing

Con il termine quishing si fa riferimento a una truffa che utilizza codici QR per far accedere la vittima a siti malevoli o carpire informazioni sensibili. Il quishing ha guadagnato popolarità grazie alla diffusione stessa dei QR code, ritenuti spesso innocui o “invisibili” ai controlli di sicurezza tradizionali.

Come funziona il quishing

Il quishing segue uno schema comune in cinque fasi:

Distribuzione: Il truffatore crea un codice QR con un link malevolo e lo distribuisce tramite email, SMS, volantini, pacchi sospetti o manifesti.
Inganno: Il QR code si presenta come “promozione”, “servizio urgente” o “verifica della consegna”, inducendo fiducia nella vittima.
Scansione: Chi riceve il pacco o il messaggio scansiona il QR code usando il proprio dispositivo.
Reindirizzamento: Si viene indirizzati a un sito web trappola, che imita un portale affidabile.
Furto dati: Vengono richiesti dettagli come login, credenziali bancarie, dati personali, o viene avviato un download malevolo.

Perché il quishing è così pericoloso?

Difficile da riconoscere: Il QR code nasconde l’URL reale e può aggirare i controlli di antispam e sicurezza.
Veicolo perfetto per il social engineering: La combinazione tra pacco inaspettato e QR code, spesso associato a messaggi urgenti (“riscuoti il premio”, “verifica la spedizione”), crea pressione psicologica e induce all’azione impulsiva.
Dispositivi meno protetti: Molte persone scansionano i QR code da smartphone o tablet, che spesso non hanno software di sicurezza aggiornata.

Minacce collegate: il furto di dati personali e l’effetto domino

Brushing e quishing sfruttano entrambe una condizione preesistente: i tuoi dati sono già stati compromessi e circolano online in database sotterranei. Una volta confermato che il tuo nome, indirizzo, telefono e email sono validi si aprono nuove opportunità per ulteriori truffe, tra cui:

Chiamate di phishing da finti corrieri o supporti clienti
Tentativi di ricatto o truffe via email personalizzate
Frodi finanziarie e furti d’identità tramite banche, servizi postali, e-commerce

Come Proteggersi: Consigli Pratici

Difese Immediate dopo aver ricevuto un pacco sospetto

Verifica tutto: Analizza la confezione, le etichette e gli eventuali fogli informativi. Scatta una foto di tutto.
Non interagire: Non scansionare QR code e non visitare link stampati sul pacco o nei documenti allegati.
Non chiamare numeri sconosciuti: Non contattare mai numeri riportati nella spedizione.
Non pagare nulla: Mai versare denaro per “spese di dogana” o “costi di consegna” relativi a pacchi inattesi.
Non collegare USB o altri dispositivi digitali: Potrebbero contenere malware.
Verifica da fonti ufficiali: Se il pacco sembra provenire da un corriere noto (Amazon, DHL, ecc.), consulta il sito ufficiale. Inserisci il numero di tracking manualmente senza mai scansionare QR code.
Segnala: Informati presso il corriere e il servizio postale, e valuta di fare una denuncia alla polizia anche se non hai subito un danno economico.

Misure preventive continuative

Sicurezza degli account: Attiva la doppia autenticazione (2FA) su email, servizi bancari, e marketplace.
Monitoraggio delle finanze: Controlla regolarmente i movimenti bancari per rilevare possibili transazioni sospette.
Software antivirus: Installa e tieni aggiornato un programma di sicurezza su TUTTI i dispositivi (inclusi smartphone e tablet).
Gestione delle password: Utilizza password forti e uniche per ciascun servizio; un password manager può aiutare.
Allerta sulle violazioni: Usa servizi che ti avvisano se il tuo indirizzo email o altri dati sono stati coinvolti in data breach.

Consapevolezza digitale

Diffida di qualsiasi comunicazione inattesa che richieda immediatamente azioni personali o finanziarie.
Controlla sempre l’identità di chi ti contatta attraverso canali indipendenti.
Educa familiari e colleghi sulle nuove tipologie di scam legate a brushing e quishing.

Soluzioni tecnologiche

Le aziende possono implementare soluzioni che analizzano preventivamente i QR code presenti in email e documenti aziendali, bloccando reindirizzamenti sospetti prima ancora che l’utente possa interagire.
Alcuni software di sicurezza avanzata offrono la scansione preventiva dei QR code, avvisando se il link integrato porta a siti malevoli o ad alto rischio.

Come agire se sei stato coinvolto

Se ricevi un pacco brush o sei caduto in una truffa di quishing:

Cambia immediatamente tutte le password degli account importanti.
Attiva la doppia autenticazione per le piattaforme principali.
Contatta la tua banca per monitorare accessi e bloccare eventuali operazioni sospette.
Segnala il caso a Polizia Postale, Autorità Garante Privacy e ai siti/e-commerce destinatari della truffa.
Se il pacco contiene dispositivi digitali (chiavette, schede SD, dischi esterni): NON collegarli mai a PC o smartphone.
Custodisci tutto il materiale (pacco, foto, email, messaggi) in caso sia necessaria un’indagine.

L’arrivo di un pacco inatteso non va preso mai alla leggera. Brushing e quishing non solo sfruttano debolezze tecnologiche e psicologiche ma si alimentano della grande quantità di dati personali già trafugati e disponibili online. Difendersi si può: serve un mix di attenzione, aggiornamento tecnologico e consapevolezza. Ogni singola precauzione adottata oggi può prevenire danni economici, reputazionali e personali di domani.

Mantieni la guardia alta, aggiorna sempre i tuoi strumenti e informati sulle nuove modalità di truffa. E ricorda: nessuna tecnologia può sostituire il buon senso e la prudenza.

Fonte: https://www.kaspersky.it/blog/brushing-quishing-and-other-threats-of-unexpected-parcels/29991