Come verificare che un file o un codice QR sia sicuro prima di aprirlo?

Qualsiasi dipendente della tua azienda ora può analizzare un file o un codice QR prima di aprirlo, usando il servizio Tahqaq dell'Autorità Nazionale per la Cybersicurezza (NCA) dell'Arabia Saudita. Il servizio è partito il 29 dicembre 2025 con la sola analisi dei link, e a ottobre 2026 la NCA ha aggiunto l'analisi dei file e dei codici QR. Link e codici QR vanno inviati al numero WhatsApp +966118136644, i file si caricano sul portale Haseen, e il risultato è immediato, a qualsiasi ora del giorno e della notte. Ciò che ti serve è una regola per il tuo team: nessuno apre un allegato che non si aspettava, né scansiona un codice sconosciuto, senza averlo prima verificato. Ricorda però che il risultato è una stima del rischio, non una garanzia, e che l'analisi dei file è ancora in fase di prova.

Che cosa è cambiato nel servizio?

La NCA ha lanciato il servizio il 29 dicembre 2025, secondo la Saudi Press Agency, per analizzare i link in circolazione prima che le persone li visitino. Il 7 ottobre 2026, in coincidenza con il Mese mondiale della consapevolezza sulla cybersicurezza, la NCA ha annunciato nel suo comunicato ufficiale due nuove funzioni: l'analisi dei file e l'analisi dei codici a risposta rapida, noti come codici QR. Il servizio fa parte di Haseen, il Portale nazionale dei servizi di cybersicurezza, e la NCA lo gestisce in collaborazione con il suo braccio tecnico, la Saudi Information Technology Company (SITE).

Il dettaglio che molti trascurano nella pagina ufficiale del servizio è che i due canali non analizzano le stesse cose:

CanaleChe cosa analizzaCome raggiungerlo
WhatsAppLink e codici QR+966118136644
Portale HaseenLink, file e codici QRtahqaq.haseen.gov.sa

In altre parole, secondo la pagina della NCA, l'analisi dei file è disponibile solo sul portale Haseen. La pagina del servizio Tahqaq for Files spiega che il controllo è automatizzato dal motore del servizio, che i risultati sono immediati e che il servizio funziona 24 ore su 24, 7 giorni su 7, in arabo e in inglese, senza bisogno di documenti. La stessa pagina definisce il servizio per i file una "beta".

Perché è importante per la tua azienda?

Una violazione in un'azienda può iniziare dal clic di un solo dipendente piuttosto che da un attacco sofisticato. Una fattura in PDF di un fornitore che non conosci, un curriculum che arriva alle Risorse Umane come file compresso, un avviso di spedizione che ti chiede di aprire un allegato, oppure un adesivo con un codice QR che qualcuno ha applicato sopra l'adesivo di pagamento originale nella tua filiale. Nel suo annuncio la NCA afferma che le nuove funzioni rispondono all'uso crescente di file e codici QR nelle attività quotidiane.

Un codice QR è più pericoloso di un normale link sotto un aspetto: un link scritto si può leggere, e potresti accorgerti che il nome del sito sembra sbagliato, ma con un codice non sai dove porta finché non lo scansioni. Verificarlo prima di aprirne la destinazione chiude una falla che l'occhio non può chiudere.

Come lo usa il tuo team: cinque passaggi

  • Salva il numero giusto: copia il numero WhatsApp +966118136644 dalla pagina stessa della NCA e salvalo sui telefoni dei dipendenti con un nome chiaro. Non fidarti di un numero ricevuto in un messaggio, perché i truffatori si spacciano per servizi governativi.
  • Link e codici vanno prima su WhatsApp: prima di toccare un link in un messaggio, o di scansionare un codice su un adesivo, una fattura o un post, il dipendente lo invia al numero del servizio e attende il risultato.
  • I file vanno sul portale Haseen: un allegato che il dipendente non si aspettava, soprattutto file compressi, file eseguibili e documenti che chiedono di "abilitare il contenuto", va caricato sul portale prima di essere aperto.
  • Leggi il risultato come una stima, non come un verdetto: la NCA afferma che l'analisi dei file valuta la "probabilità" di una minaccia. Se il risultato è sospetto, il dipendente elimina il file e avvisa il responsabile. Se risulta pulito ma il messaggio stesso è strano, come una richiesta di pagamento urgente o la richiesta di una password, deve chiamare il mittente a un numero che conosce già prima di fare qualsiasi cosa.
  • Lascia il tuo feedback: il servizio permette di dare un riscontro sul risultato dell'analisi, quindi segnala un risultato che ritieni errato e registra il caso internamente, così il resto del team sa che cosa vi è arrivato.

I limiti del servizio: che cosa non copre

Il servizio è utile, ma non è un sistema di protezione per la tua azienda. La NCA lo elenca tra i servizi individuali, rivolti a cittadini e residenti del Regno. Tieni presenti tre punti:

  • Non sostituisce la protezione di base: software di sicurezza su ogni dispositivo, aggiornamenti di sistema, filtraggio della posta elettronica, backup e verifica in due passaggi restano tutti necessari. Trovi queste basi nella nostra guida alla cybersicurezza per le piccole e medie imprese.
  • Analizza ciò che è sospetto, non i tuoi documenti: il servizio serve a verificare un file strano che hai ricevuto, non a caricare i tuoi contratti, i cedolini o i dati dei clienti. Non caricare senza necessità un file contenente dati sensibili su nessuno strumento di analisi esterno.
  • Gli enti hanno un servizio diverso: tra i servizi per gli enti, la NCA elenca un servizio chiamato Files Examination Services, che esamina il file in un ambiente isolato che include Windows 7 e Windows 10 ed emette un rapporto tecnico completo entro 5 minuti, garantendo la riservatezza del file e del rapporto. Verifica sul portale Haseen se la tua organizzazione ne ha diritto.

Se il tuo sito web o la tua app riceve file dai clienti

Il servizio protegge il dipendente che apre un file a mano. Ma se il tuo sito web, la tua app o il tuo sistema di selezione del personale riceve file da clienti e candidati, come curriculum, foto di documenti d'identità, fatture e allegati ai reclami, nessuno controllerà centinaia di file manualmente. In questo caso l'analisi deve far parte del sistema stesso: un elenco definito di tipi di file consentiti, una dimensione massima, un'analisi automatica prima del salvataggio e un archivio per i file caricati tenuto separato dal server principale dell'applicazione.

È quello che verifichiamo in Origami quando realizziamo un nuovo sistema o sviluppiamo un sistema esistente. Se vuoi che verifichiamo come il tuo sistema riceve i file oggi, contattaci.

Fonti