Un QR code è un modo compatto per rappresentare informazioni. Può contenere un indirizzo web, i dati di una rete Wi‑Fi, un contatto, un testo o un comando compatibile con l’app che lo legge. Le fotocamere moderne mostrano normalmente un’anteprima e attendono un tocco prima di aprire il collegamento. Per questo una semplice inquadratura, senza altre azioni, non consegna automaticamente password e carta al destinatario. Non è però una regola assoluta per ogni applicazione: software obsoleto o lettori di terze parti possono comportarsi diversamente. La truffa basata su QR viene chiamata quishing, dall’unione di QR e phishing. Il codice nasconde alla vista l’indirizzo completo e rende più difficile valutare la destinazione prima della scansione. Una pagina falsa può imitare il parcheggio comunale, il corriere, la banca, la rete Wi‑Fi di un locale o il modulo per restituire un pacco inatteso. La Federal Trade Commission ha segnalato il 20 agosto una variante recente: un oggetto non ordinato arriva a casa con un QR che promette di rivelare il mittente o gestire il reso.
Perché è importante
- Nella maggior parte dei casi inquadrare il codice mostra un collegamento: il furto avviene quando si apre la pagina, si inseriscono credenziali, si autorizza un pagamento o si installa software.
- Un adesivo può coprire il QR autentico di un parchimetro, un menu o un avviso; la grafica circostante non dimostra che la destinazione sia legittima.
- Dopo una scansione sospetta le azioni dipendono da ciò che è stato fatto: chiudere la pagina, cambiare credenziali, revocare sessioni o contattare subito il gestore del pagamento.
Inquadrare non equivale a consegnare la password, ma il passaggio successivo conta
Il passaggio pericoloso può essere l’apertura di una pagina che sfrutta una vulnerabilità, ma nello scenario più comune serve ancora un’azione: inserire credenziali, pagare, autorizzare notifiche, scaricare un’app, installare un profilo o collegare un nuovo dispositivo a un account. I criminali costruiscono urgenza perché una persona concentrata sulla multa, sul pacco o sul posto auto controlli meno il dominio. Il codice non deve quindi «hackerare» il telefono per produrre un danno: gli basta convincere l’utente a completare una procedura credibile. Anche HTTPS e il lucchetto non certificano l’identità dell’azienda. Indicano che la connessione con quel dominio è cifrata. Un sito falso può ottenere normalmente un certificato valido. Il controllo utile riguarda il nome completo: lettere sostituite, parole aggiunte prima del dominio reale, estensioni insolite e indirizzi abbreviati impediscono di capire subito chi riceverà i dati. Se l’anteprima non mostra l’indirizzo intero, non aprirlo per curiosità: cerca il servizio con un metodo indipendente.
Cosa puoi farci concretamente
- Prima di aprire, leggere l’intero dominio nell’anteprima e confrontarlo con il sito ufficiale cercato separatamente.
- Non inserire password, codici di verifica, carta o dati personali in una pagina raggiunta da un QR inatteso o accompagnato da urgenza.
- Se sono stati forniti dati, cambiare subito la password dal sito autentico, terminare le sessioni, attivare un secondo fattore e controllare i movimenti.
La regola dei trenta secondi: superficie, indirizzo e azione richiesta
Prima della fotocamera, guarda il supporto. Un adesivo applicato sopra un altro codice, bordi sollevati, colori diversi o una stampa aggiunta a un parchimetro sono segnali concreti. Non dimostrano una truffa, perché anche un gestore legittimo può aggiornare un codice, ma giustificano una verifica. Nei ristoranti e negli uffici chiedi conferma al personale; per parcheggi, bollette e trasporti apri l’app ufficiale già installata o digita il sito indicato sulla documentazione originale. Dopo la scansione, leggi il dominio da destra verso sinistra fino al primo separatore: in «pagamento.comune-esempio.servizio-falso.it» il proprietario è servizio-falso.it, non il comune. Evita gli URL abbreviati quando la destinazione riguarda denaro o identità. Se il telefono propone di unirsi a una rete, aggiungere un contatto o comporre un numero, controlla che l’azione corrisponda allo scopo dichiarato. Un menu non ha motivo di chiedere l’installazione di un’app con permessi di accessibilità. Valuta poi la richiesta. Una pagina raggiunta dal tavolo di un locale può mostrare il menu, ma non dovrebbe chiedere la password dell’email. Un parcheggio può chiedere targa e pagamento, ma il nome dell’esercente deve coincidere con quello esposto. Nessuna banca seria chiede PIN, password completa e codice temporaneo insieme per «annullare» una frode. Se qualcuno resta al telefono mentre detta i passaggi, interrompi la chiamata e ricontatta l’organizzazione tramite un numero conosciuto.
Su Android e iPhone usa la fotocamera di sistema, aggiornata con il sistema operativo, invece di un lettore QR sconosciuto pieno di annunci. Password manager e passkey aiutano perché non compilano una credenziale su un dominio diverso da quello registrato. Una chiave hardware può aggiungere una protezione resistente al phishing sugli account compatibili, come spiega il confronto tra chiavi USB di sicurezza e codici SMS. Nessuno strumento sostituisce però il controllo di un pagamento già autorizzato.
La prova dei fatti
Se hai soltanto inquadrato il codice o aperto la pagina e non hai scaricato nulla, concesso permessi o inserito dati, chiudi la scheda e cancella eventuali download. Aggiorna il telefono e il browser; non serve ripristinare automaticamente il dispositivo. Controlla la cronologia per conservare l’indirizzo se vuoi segnalare il sito. Evita di riaprirlo. Un antivirus non può stabilire se hai comunicato volontariamente una password a un modulo falso. Se hai inserito credenziali, apri il servizio da un’app o indirizzo autentico e cambia subito la password. Termina le altre sessioni, controlla dispositivi collegati, metodi di recupero e regole di inoltro dell’email. Se la stessa password è stata riutilizzata, cambiala anche sugli altri account. Attiva l’autenticazione a più fattori e conserva i codici di recupero. Un gestore come quello descritto nella guida a Bitwarden e alle passkey rende più semplice assegnare una credenziale diversa a ogni sito. Se hai fornito dati della carta o autorizzato un pagamento, contatta immediatamente banca o emittente usando il numero sul retro della carta. Chiedi blocco o contestazione, controlla i movimenti e conserva ricevute, messaggi e indirizzo. Se hai installato un’app o un profilo, disconnetti il dispositivo dalla rete, rimuovi ciò che riconosci soltanto dopo avere raccolto le informazioni necessarie e chiedi assistenza qualificata quando l’app ha ottenuto accessibilità, amministrazione o gestione remota.
Il principio finale è semplice: il QR non merita più fiducia perché è stampato su un oggetto fisico. Va trattato come un collegamento ricevuto in un messaggio. La grafica può essere copiata, l’adesivo sostituito e il dominio registrato in pochi minuti. Una pausa di trenta secondi costa meno del recupero di un account. Se un servizio legittimo non consente di verificarne facilmente indirizzo, esercente e importo, è il servizio a dover offrire un percorso alternativo.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
