Il QR code phishing è una tecnica di social engineering che usa un codice scansionabile per indirizzare una vittima verso una falsa pagina di accesso, il download di malware o un'altra azione controllata dall'attaccante. È efficace perché il codice nasconde la destinazione a un rapido controllo visivo e spesso sposta l'obiettivo dall'email o dalla chat a un browser mobile, dove gli indizi di sicurezza sono più facili da non notare.
Negli attacchi reali, i codici QR possono comparire in fatture false, inviti a eventi, poster o documenti. Possono essere usati da soli o come parte di una più ampia catena di phishing che ruba credenziali, cookie di sessione o token MFA. I difensori dovrebbero trattare i codici QR inattesi come sospetti, verificare la destinazione prima di aprirla e preferire metodi di accesso resistenti al phishing, come passkey o chiavi di sicurezza hardware. Il filtraggio degli URL, la consapevolezza degli utenti e la rapida revoca della sessione riducono anche l'impatto quando una scansione porta a un sito malevolo.