Verifica l’azione che stai autorizzando, non soltanto l’aspetto del codice.
Un messaggio dice che devi scansionare un codice QR per entrare in un gruppo privato o mantenere attivo il tuo account. La schermata successiva chiede di collegare un dispositivo. Sono azioni diverse. Fermati prima di approvare: anche un meccanismo autentico di collegamento dell’account può essere usato per uno scopo ingannevole.
La crittografia end-to-end protegge i messaggi tra i dispositivi partecipanti. Non può decidere se volevi davvero aggiungere il dispositivo che ora li riceve. Questa guida spiega come distinguere un collegamento web, una richiesta di associazione di un dispositivo e un codice di verifica del contatto, e cosa controllare se hai già agito.
Due diverse trappole con i codici QR
Un sito falso: un codice apre una pagina che imita un servizio conosciuto e chiede una password o altre informazioni sensibili. La Federal Trade Commission statunitense (FTC) mette in guardia dai codici QR nei messaggi inattesi e raccomanda di controllare le destinazioni e contattare il presunto mittente attraverso un canale noto, invece di seguire il messaggio. Un logo familiare non dimostra chi gestisce la pagina. Indicazioni della FTC sulle truffe con QR.
Un dispositivo collegato indesiderato: l’aggressore ti persuade a collegare il proprio computer o un altro dispositivo al tuo account di messaggistica. Può sfruttare una funzione legittima senza violare la crittografia. Google Threat Intelligence ha documentato attacchi al collegamento dei dispositivi di Signal camuffati da inviti a gruppi e avvisi di sicurezza. Negli attacchi osservati, il collegamento riuscito consentiva ai messaggi futuri di raggiungere un dispositivo controllato dall’aggressore. Indagine di Google sul phishing tramite collegamento dei dispositivi.
La distinzione conta. Cambiare password non sostituisce il controllo dei dispositivi collegati. Allo stesso modo, puntare semplicemente la fotocamera su un codice non dimostra che qualcuno abbia preso il controllo dell’account. Stabilisci quale pagina si è aperta, quali informazioni hai fornito e quale azione hai approvato.
Tre codici simili, tre scopi diversi
| Codice o schermata | Scopo previsto | Domanda prima di procedere |
|---|---|---|
| QR di un sito web | Aprire un indirizzo | È la destinazione che mi aspettavo indipendentemente da questo messaggio? |
| QR di collegamento del dispositivo | Autorizzare un altro dispositivo | È un mio dispositivo e ho avviato io il collegamento? |
| QR di verifica del contatto | Confrontare informazioni sull’identità crittografica | Sono nella schermata di verifica del contatto e sto confrontando con la persona giusta? |
Signal, per esempio, documenta una procedura specifica nelle impostazioni dei dispositivi collegati, tramite la fotocamera interna all’app. Le istruzioni attuali includono anche una scelta sul trasferimento della cronologia dei messaggi. Non è la stessa operazione del controllo del numero di sicurezza di un contatto. Istruzioni di Signal sui dispositivi collegati.
La documentazione di Signal sui numeri di sicurezza descrive il confronto dei numeri o la scansione del QR di verifica del contatto, idealmente di persona. Il confronto aiuta a verificare l’identità crittografica della conversazione; non dimostra da solo l’identità reale di una persona. Non è un’istruzione per concedere a un nuovo computer l’accesso al tuo account. Segui lo scopo effettivo della schermata, non la descrizione del mittente. Spiegazione dei numeri di sicurezza di Signal.
Un esempio pratico: l’invito che cambia significato
Immagina questa situazione fittizia. Mina riceve un messaggio apparentemente inviato da un collega: «Il gruppo del progetto si è spostato. Scansiona questo per rientrare». La pagina appare curata e le dice di aprire lo scanner per il collegamento dei dispositivi nella sua app di messaggistica.
Mina nota l’incongruenza: voleva partecipare a una conversazione, non collegare un altro computer. Annulla, apre autonomamente la consueta scheda del contatto e verifica con il collega attraverso un altro canale fidato. Non usa il numero di telefono riportato nella pagina sospetta.
L’esempio illustra una regola utile: se il permesso richiesto dall’app è più ampio dell’operazione che intendevi svolgere, oppure è diverso, fermati. Un account mittente conosciuto non basta: gli account possono essere imitati o compromessi. Neppure un indirizzo web rassicurante può spiegare da solo perché un dispositivo inatteso abbia bisogno di accedere.
Una breve lista di controlli prima di approvare
- Definisci l’operazione. Vuoi aprire una pagina, entrare in un gruppo, verificare un contatto o collegare il tuo computer?
- Parti da un percorso indipendente. Per gestire l’account, apri l’app installata o una destinazione che conosci già, invece di seguire le istruzioni di un messaggio non richiesto.
- Leggi la richiesta dell’app. Considera il collegamento dei dispositivi, il recupero dell’account e l’inserimento delle credenziali come decisioni separate. Annulla una richiesta che non corrisponde alla tua operazione.
- Identifica l’altro dispositivo. Collega solo apparecchi che intendevi usare e che controlli. Un nome amichevole del dispositivo non ne dimostra la proprietà.
- Non condividere segreti nelle chat. Non inviare password, codici di registrazione o chiavi di recupero a chi afferma di volerti aiutare.
- Usa software aggiornato. Gli aggiornamenti e gli avvisi integrati sono importanti, ma non rendono affidabile una richiesta inattesa di autorizzazione.
Le indicazioni anti-phishing di Signal consigliano verifiche indipendenti, riservatezza dei codici e prudenza verso richieste inattese. Distinguono inoltre gli annunci ufficiali, che si possono soltanto leggere, da chi finge di essere l’assistenza tramite una conversazione interattiva. Si tratta di dettagli specifici di Signal, non di affermazioni sul sistema di supporto di ogni app di messaggistica. Indicazioni di Signal contro phishing e impersonificazione.
Se hai già scansionato o approvato
Parti dall’azione che è avvenuta davvero:
- Hai soltanto aperto una pagina: chiudila e interrompi l’interazione. Verifica se hai inserito informazioni, scaricato qualcosa o approvato un’azione nell’app. Non dedurre né una compromissione né l’assenza di rischi dalla sola scansione.
- Hai inserito credenziali o condiviso un codice: segui le istruzioni ufficiali di recupero del servizio da un dispositivo fidato. Cambia le password esposte e controlla gli accessi all’account; occupati separatamente delle password riutilizzate.
- Hai collegato un dispositivo sconosciuto: apri l’elenco effettivo dei dispositivi o delle sessioni nell’app e rimuovi la connessione indesiderata. Non presumere che cancellare il messaggio fraudolento revochi l’accesso.
- Hai installato software o concesso permessi insoliti: esamina questo aspetto separatamente. Revocare una sessione dell’account non rimuove di per sé il software dannoso dal telefono.
Per Signal, in particolare, le indicazioni di protezione raccomandano di controllare i dispositivi collegati, rimuovere quelli sconosciuti e, in caso di dubbi, rimuovere tutti i dispositivi elencati. Le istruzioni per lo scollegamento spiegano come revocare un dispositivo dal telefono principale. Altri servizi possono offrire controlli diversi. Indicazioni di Signal per proteggere l’account, Istruzioni di Signal per scollegare i dispositivi.
La revoca non può recuperare informazioni già copiate altrove. L’esposizione dipende dal servizio, dai permessi concessi, dall’eventuale scelta di trasferire la cronologia e dalla durata dell’accesso, non da una regola universale che coinvolga «tutte le chat». Se conversazioni sensibili potrebbero essere state esposte, avvisa le persone interessate attraverso un canale fidato e segui l’eventuale procedura pertinente per segnalare gli incidenti.
Cosa verificare quando valuti Livara o un’altra app di messaggistica
Chiedi come vengono autorizzati i nuovi dispositivi, dove sono mostrate le sessioni attive, come si revoca l’accesso e se la cronologia viene trasferita separatamente. Consulta la documentazione aggiornata del prodotto, senza presumere che un’etichetta sulla crittografia risponda a queste domande. Questo articolo non stabilisce che Livara utilizzi un accesso basato su QR o una particolare procedura di collegamento dei dispositivi.
La conclusione pratica è semplice: verifica l’azione che stai autorizzando, non soltanto l’aspetto del codice.
