I codici QR sono diventati così comuni che li scansioniamo quasi senza pensarci. Ed è proprio per questo che i criminali informatici hanno iniziato a usarli per ingannare le persone. Questa tecnica ha un nome: quishing, un mix di QR e phishing. In questo articolo ti spieghiamo come funzionano queste truffe, come riconoscerle e cosa puoi fare per proteggerti, sia se scansioni codici sia se li usi nella tua attività.
Cos’è il quishing
Il quishing è un tipo di frode in cui un codice QR porta a una pagina falsa progettata per rubare dati personali, password o informazioni bancarie, oppure per incassare un pagamento non dovuto. A differenza di un link in un’email, un codice QR non mostra l’indirizzo a prima vista, il che rende più difficile scoprire l’inganno prima di aprirlo.
Le truffe più comuni
Adesivi su codici legittimi
I truffatori applicano un adesivo con un codice falso sopra il codice originale su parchimetri, colonnine di ricarica, menu dei ristoranti o cartelloni. L’utente crede di pagare il parcheggio, ma inserisce i dati della carta in un sito fraudolento.
Email e lettere false
Messaggi che imitano una banca, un corriere, la pubblica amministrazione o il reparto IT della tua azienda e includono un codice QR per «verificare il tuo account», «pagare una tassa in sospeso» o «riprogrammare una consegna». Poiché il codice è un’immagine, alcuni filtri di posta non lo analizzano.
Pagamenti sul conto sbagliato
Nei pagamenti con QR, il codice falso può portare a un gateway che trasferisce il denaro al truffatore.
Download di app dannose
Codici che promettono un’app utile (di un evento, di un ristorante, di un servizio pubblico) ma portano al download di un’app al di fuori degli store ufficiali.
Segnali d’allarme
| Segnale | Cosa può indicare |
|---|---|
| Adesivo sovrapposto o ritagliato male | Codice falso incollato sopra l’originale |
| Indirizzo web strano o con errori | Imitazione di un sito legittimo |
| Urgenza («paga oggi o perderai…») | Pressione tipica delle truffe |
| Richiesta di password o dati della carta appena aperta la pagina | Pagina di phishing |
| QR in un’email inaspettata | Possibile quishing via email |
| Accorciatori di link sconosciuti | Nascondono la destinazione reale |
Consigli per gli utenti
- Guarda il codice prima di scansionarlo. Se sembra un adesivo sopra un altro codice o si sta staccando, diffida.
- Controlla l’indirizzo mostrato dallo smartphone prima di aprirlo. Verifica che il dominio sia quello che ti aspetti.
- Non inserire password né dati bancari in una pagina raggiunta tramite un QR se non sei del tutto sicuro.
- Usa le app ufficiali per pagare parcheggio, trasporti o servizi pubblici, invece di un codice per strada.
- Diffida dei QR nelle email inaspettate. Se una banca o un’azienda ti chiede qualcosa, entra nel suo sito digitando tu l’indirizzo.
- Scarica le app solo dall’App Store o da Google Play.
- Mantieni lo smartphone aggiornato, per avere le ultime protezioni di sicurezza.
Consigli per le aziende
Se usi i codici QR nella tua attività, puoi anche proteggere i tuoi clienti:
- Controlla periodicamente i tuoi codici su tavoli, cartelloni e vetrine per individuare adesivi estranei.
- Stampa i codici integrati nel supporto (nel menu, nel cartellone) invece di usare adesivi facili da sostituire.
- Mostra il tuo dominio accanto al codice, per esempio «tuosito.it/menu», perché il cliente possa verificare che la destinazione corrisponda.
- Aggiungi il tuo logo e i colori del brand: un codice personalizzato è più difficile da imitare di uno generico.
- Usa il tuo dominio nei link ogni volta che puoi.
- Informa il tuo team perché segnali eventuali codici sospetti.
Cosa fare se sei caduto in una truffa
- Contatta immediatamente la tua banca per bloccare la carta o l’operazione.
- Cambia le password che hai inserito, iniziando da email e home banking.
- Attiva la verifica in due passaggi sui tuoi account importanti.
- Denuncia la frode alle autorità del tuo Paese e, se è avvenuta in un esercizio commerciale, avvisa il responsabile.
- Controlla i movimenti nelle settimane successive.
I codici QR sono pericolosi?
No. Un codice QR non è più pericoloso di un link: è solo un modo per aprire un indirizzo. Il rischio sta nella destinazione, non nel codice. Con alcune semplici abitudini, come controllare l’indirizzo e diffidare di adesivi ed email inaspettate, puoi continuare a sfruttarne la comodità in sicurezza.
Domande frequenti
Scansionare un codice QR può infettare il mio smartphone?
La scansione in sé non installa nulla. Il pericolo nasce se apri una pagina fraudolenta e scarichi un file o inserisci dati. Controlla sempre la destinazione prima di aprirla.
Come faccio a sapere se un codice QR è sicuro?
Controlla l’indirizzo mostrato dallo smartphone, lo stato fisico del codice e il contesto. Se qualcosa non torna, non aprirlo.
I codici creati su QRcrea sono sicuri?
I codici che crei con il generatore di QRcrea portano esattamente alla destinazione che indichi. La sicurezza della destinazione dipende dal link che scegli.
Conclusione
Il quishing sfrutta la fiducia che riponiamo nei codici QR, ma è facile da evitare con un po’ di attenzione: controlla l’indirizzo prima di aprirlo, diffida di adesivi ed email inaspettate e non inserire dati sensibili se non sei sicuro. Se hai un’attività, personalizza i tuoi codici, mostra il tuo dominio e controllali regolarmente. Crea codici con il tuo brand con il generatore di codici QR di QRcrea.
Pronto a creare il tuo codice QR?
Personalizzalo con i tuoi colori e il tuo logo e scaricalo gratis in pochi secondi.
