Scansionare un codice QR senza controllare dove conduce può aprire la porta a una truffa capace di rubare password, dati bancari e accessi personali.
Il rischio nasce dal fatto che un QR code nasconde l’indirizzo reale dietro un’immagine apparentemente innocua. Basta inquadrarlo con lo smartphone, aprire il collegamento e inserire le proprie credenziali su una pagina falsa perché i criminali possano impossessarsi delle informazioni.
Come funziona la truffa del quishing
Questa tecnica prende il nome di quishing, termine nato dall’unione tra QR code e phishing. Il meccanismo è semplice: il truffatore crea un codice che rimanda a un sito contraffatto, progettato per imitare una banca, un servizio di pagamento, un corriere o una piattaforma di posta elettronica. La vittima vede una pagina familiare e inserisce username, password o dati della carta senza accorgersi dell’inganno.
Il problema è che un codice QR non può essere letto a occhio nudo come un normale indirizzo web. L’utente vede soltanto un quadrato composto da punti neri e bianchi e tende a fidarsi del contesto in cui è stato collocato. Un codice stampato su un parchimetro, su una colonnina di ricarica o sul tavolo di un ristorante può quindi sembrare perfettamente legittimo, anche quando è stato sostituito.
Dove vengono nascosti i codici QR falsi
Uno dei sistemi più comuni consiste nell’applicare un adesivo contraffatto sopra il codice originale. Il truffatore può intervenire su cartelli pubblicitari, distributori automatici, colonnine elettriche, biglietterie, menu digitali e sistemi di pagamento dei parcheggi. A prima vista tutto appare normale, ma il collegamento porta a una pagina controllata dai criminali.
Un adesivo con QR code viene sollevato da una colonnina: un gesto che richiama le truffe di quishing prima della scansione.
Il quishing può arrivare anche attraverso email e documenti PDF. Il messaggio può presentarsi come una fattura, una comunicazione aziendale, un avviso di sicurezza o la richiesta di aggiornare una password. Inserendo il codice come immagine, i truffatori cercano di superare alcuni filtri automatici che riconoscono più facilmente i collegamenti pericolosi scritti direttamente nel testo.
Dopo la scansione, la vittima non viene sempre indirizzata subito al sito falso. Il percorso può passare attraverso link abbreviati, pagine intermedie e redirect che rendono più difficile capire la destinazione finale. In alcuni casi compaiono anche falsi CAPTCHA o schermate di attesa, utilizzati per rendere l’esperienza più credibile.
I segnali da controllare prima della scansione
Prima di inquadrare un codice è utile osservare la superficie su cui è stato applicato. Un adesivo storto, un bordo sollevato, una stampa diversa dal resto del cartello o un codice incollato sopra un altro rappresentano possibili segnali di manomissione. In presenza di dubbi, è più sicuro utilizzare l’applicazione ufficiale del servizio o digitare manualmente l’indirizzo nel browser.
Lo smartphone mostra generalmente un’anteprima del collegamento prima dell’apertura. È importante controllare con attenzione il nome del dominio, perché spesso i truffatori usano indirizzi molto simili a quelli autentici, modificando una sola lettera o aggiungendo parole come “sicurezza”, “verifica” o “pagamento”. Anche domini insoliti, collegamenti abbreviati e indirizzi privi di HTTPS richiedono particolare prudenza.
Cosa fare se il sito chiede password o pagamenti
Un codice QR utilizzato per leggere un menu, consultare un orario o ottenere informazioni non dovrebbe chiedere improvvisamente di inserire credenziali bancarie o scaricare un’applicazione. Se la pagina richiede password, codici temporanei, dati della carta o l’installazione di file, conviene chiuderla e raggiungere il servizio attraverso i canali ufficiali.
L’autenticazione a due fattori può limitare i danni quando una password viene sottratta, ma non offre una protezione assoluta. Alcune pagine false chiedono anche il codice ricevuto tramite SMS o generato dall’app di autenticazione. Per questo la difesa più efficace resta controllare l’indirizzo prima di inserire qualsiasi informazione personale.
I QR code sono stati sviluppati negli anni Novanta da Denso Wave, società collegata al gruppo Toyota, per identificare i componenti nelle linee di produzione. La loro diffusione è aumentata rapidamente nei servizi, nei pagamenti e nella ristorazione, soprattutto durante l’emergenza sanitaria legata al Covid-19. Proprio l’uso ormai quotidiano di questi strumenti ha favorito la crescita del quishing, trasformando un gesto abituale in un’occasione per le frodi informatiche.
