Un QR code può nascondere una truffa: come controllare il link prima di aprirlo

Il codice non è una garanzia: contiene un indirizzo

La Federal Trade Commission segnala codici alterati su parchimetri e messaggi inattesi che spingono a risolvere un problema urgente: un pacco fermo, un account da verificare o una password da cambiare. Il sito che si apre può imitare quello legittimo e raccogliere ciò che inserisci. Il rischio non nasce dalla tecnologia QR in sé, ma dal fidarsi dell’indirizzo senza leggerlo e dall’urgenza che induce a saltare i controlli.

Leggi il dominio prima di aprire

Dopo aver inquadrato il codice, fermati sulla notifica che mostra il collegamento. Controlla il nome principale del dominio, la sua estensione e ogni parola collocata prima o dopo: una pagina come banca-verifica.example.com appartiene al dominio example.com, non alla banca citata all’inizio. Diffida di nomi con lettere scambiate, trattini insoliti, sottodomini che imitano un marchio e servizi di abbreviazione che impediscono di capire subito la destinazione. Il lucchetto HTTPS indica una connessione cifrata, ma non certifica che il sito sia quello giusto.

Se il sistema mostra solo un collegamento abbreviato o non riesci a leggere con sicurezza il dominio, non aprirlo. Puoi cercare il servizio nella sua app ufficiale oppure digitare nel browser un indirizzo che usi già. Per una richiesta di pagamento, verifica importo e beneficiario su una fonte indipendente. Un adesivo sopra un QR in un parcheggio, un tavolo o una bacheca è un motivo per fermarsi e chiedere conferma al gestore.

Non seguire un QR arrivato con un messaggio inatteso

Un messaggio che impone di agire subito è progettato per ridurre il tempo di verifica. Se un pacco, una banca o un servizio ti chiede di scansionare un codice e inserire una password o una carta, non usare il recapito e il collegamento contenuti nello stesso messaggio. Apri invece l’app installata in precedenza, usa un indirizzo salvato tra i preferiti oppure telefona al numero riportato sulla carta o sul sito che conosci. La Commissione europea ricorda che il phishing sfrutta proprio richieste apparentemente legittime per ottenere dati sensibili.

Il codice può anche essere in un documento o in un oggetto ricevuto da qualcuno che non ti aspettavi. Un regalo anonimo, una multa o una consegna da sbloccare possono creare una storia plausibile, ma la plausibilità non dimostra l’identità del mittente. Se non puoi confermare il motivo da un canale indipendente, elimina il messaggio o restituisci il pacco al mittente attraverso la procedura ufficiale. Non comunicare codici di verifica a chi ti contatta e non installare applicazioni suggerite dalla pagina raggiunta.

Se hai già aperto il sito, limita subito le conseguenze

Aprire la pagina non significa automaticamente che i tuoi account siano compromessi. Chiudila se l’indirizzo non torna e non scaricare file né autorizzare notifiche o profili richiesti. Se hai digitato una password, raggiungi il servizio dal suo canale conosciuto, cambiala e modifica la stessa password anche sugli altri account dove l’hai riutilizzata. Attiva l’autenticazione a più fattori e controlla le sessioni recenti per revocare accessi che non riconosci. Aggiorna il sistema operativo del telefono: gli aggiornamenti correggono vulnerabilità note.

Se hai inserito dati di una carta o autorizzato un pagamento, contatta subito la banca o l’emittente usando il numero ufficiale e segui le indicazioni per blocco e contestazione. Conserva il messaggio e l’indirizzo che hai visto senza inoltrare il QR ad altri. Puoi segnalare l’accaduto alle autorità competenti e avvisare il gestore del luogo se il codice fisico è stato sostituito. La regola finale è semplice: un QR accelera l’accesso, ma non sostituisce il controllo di chi riceverà i tuoi dati.