La manomissione di un QR code avviene quando qualcuno incolla un QR code falso sopra quello vero di un'attività, così chi lo scansiona finisce su una pagina truffa o paga il conto sbagliato. I negozi si proteggono controllando spesso i codici, usando materiali antimanomissione, posizionandoli dove il personale li vede e usando link dinamici che possono monitorare e cambiare.
Qualsiasi QR code stampato in un luogo pubblico può essere preso di mira: codici di pagamento alla cassa, codici del menu sui tavoli, codici su manifesti, cartelli di parcheggio o furgoni per le consegne. La buona notizia è che poche abitudini semplici rendono le manomissioni molto più facili da individuare e molto meno efficaci.
Come avviene la manomissione di un QR code
Il metodo più diffuso è rudimentale. Un criminale stampa un QR code falso su un adesivo delle giuste dimensioni e lo applica sopra quello autentico. Per un cliente di fretta sembra tutto normale.
Il codice falso può:
- Aprire un sito clone che chiede dati della carta, credenziali o informazioni personali.
- Mostrare un QR di pagamento intestato a un altro conto, così i soldi vanno al truffatore invece che al negozio.
- Portare a una pagina che spinge il visitatore a scaricare un'app o un file.
Le autorità per la tutela dei consumatori e le banche di diversi Paesi hanno messo in guardia dagli adesivi QR falsi su parchimetri, postazioni di pagamento e cartelli pubblici. Per un'attività il danno è doppio: i clienti perdono denaro e spesso danno la colpa al negozio dove hanno scansionato.
I segnali di un codice manomesso
Insegna al personale a riconoscere questi segnali:
- Un adesivo con bordi in rilievo, bolle o dimensioni leggermente diverse dall'originale.
- Un codice che sembra più nuovo, più lucido o di un colore diverso rispetto al resto del cartello.
- Un secondo codice accanto all'originale, con un messaggio allettante come "scansiona qui per uno sconto".
- Danni, graffi o tracce di colla nella zona del codice.
- Clienti che parlano di una pagina strana, di una richiesta di accesso o di un beneficiario sconosciuto al momento del pagamento.
La prova migliore è scansionare. Quando scansioni il tuo codice, la destinazione deve essere esattamente il link previsto oppure, per un codice di pagamento, il nome corretto del beneficiario.
Una routine di controllo quotidiana
Una volta diventato abitudine, il controllo richiede meno di un minuto per codice. Ecco una checklist semplice:
- Tieni un elenco di tutti i QR code esposti, con posizione e destinazione prevista.
- Guarda e tocca ogni codice all'apertura. Passaci sopra un dito per sentire se c'è uno strato di adesivo in più.
- Scansiona un campione con un telefono aziendale, possibilmente ogni giorno uno diverso, e verifica la destinazione.
- Controlla i codici di pagamento verificando che il nome del beneficiario mostrato nell'app bancaria corrisponda alla tua attività.
- Rimuovi subito tutto ciò che non dovrebbe esserci e conservalo come prova, possibilmente dopo averlo fotografato sul posto.
- Registra il controllo in un semplice registro con data e iniziali, così le mancanze saltano all'occhio.
Uno strumento online come il nostro scanner di QR code mostra la destinazione prima di aprirla, così puoi verificare un link senza visitare una pagina di cui non ti fidi.
Rendi i codici più difficili da manomettere
Alcune scelte fisiche rendono un adesivo sovrapposto più evidente o più difficile da applicare.
- Stampa il codice direttamente nella grafica del cartello o del menu invece di usare un adesivo separato. Così un adesivo aggiunto salta subito all'occhio.
- Usa etichette antimanomissione o distruttibili per i codici che devono essere adesivi. Si strappano o mostrano un motivo se qualcuno prova a staccarle o coprirle.
- Metti i codici dietro una lastra di plexiglass o in una cornice, così niente può essere incollato direttamente sopra.
- Aggiungi il nome dell'attività e una breve frase vicino al codice, ad esempio "Paga solo a: Nome del tuo negozio". I clienti sapranno cosa aspettarsi.
- Tieni i codici sotto gli occhi del personale. I codici alla cassa sono molto più difficili da manomettere di quelli su un cartello esterno non sorvegliato.
- Evita i codici doppi. Più codici esponi, più ne devi controllare.
Usa link dinamici che puoi monitorare
Un QR code dinamico punta a un link breve che inoltra alla tua pagina. Questo ti dà un controllo utile:
- Puoi cambiare la destinazione in qualsiasi momento senza ristampare, utile se il tuo sito si sposta o una pagina viene compromessa.
- Le statistiche di scansione mostrano l'andamento normale. Un calo improvviso delle scansioni da una certa posizione può indicare che lì il codice è stato coperto da uno falso.
- I link brevi riconoscibili ispirano fiducia. I clienti possono verificare che il link corrisponda a ciò che si aspettano.
Su QR-TH i codici dinamici usano un link breve qr-th.com/r/ e ogni link viene controllato con Google Safe Browsing e ricontrollato ogni notte. I visitatori possono anche vedere una pagina di caricamento che mostra dove porta il link prima di aprirlo. Queste funzioni non impediscono a qualcuno di incollare un adesivo falso sul tuo cartello, ma ti aiutano ad accorgerti dei problemi e a mantenere puliti i tuoi link.
I QR code di pagamento richiedono più attenzione
I codici di pagamento sono il bersaglio più appetibile, perché una sostituzione riuscita manda i soldi direttamente al criminale.
- Invita i clienti a controllare il nome del beneficiario nell'app della banca prima di confermare, e scrivilo anche sul cartello.
- Quando possibile, mostra un QR di pagamento dinamico su uno schermo o un terminale invece di un adesivo stampato fisso.
- Se usi un QR PromptPay stampato, controllalo ogni giorno e tienilo vicino alla cassa.
- Se un cliente segnala di aver pagato un nome diverso, smetti subito di usare quel codice e contatta la banca.
La nostra guida alla sicurezza dei pagamenti con QR code spiega cosa dovrebbero controllare i clienti prima di pagare.
Cosa fare se trovi un codice falso
- Rimuovi l'adesivo falso e conservalo. Scatta foto prima e dopo.
- Controlla subito tutti gli altri codici, perché potrebbero esserne stati sostituiti più di uno.
- Esponi un breve avviso per i clienti che potrebbero averlo scansionato, spiegando a cosa fare attenzione.
- Denuncia l'accaduto alle forze dell'ordine e, per i codici di pagamento, avvisa la banca.
- Sostituisci il codice con una nuova stampa e valuta di nuovo dove posizionarlo.
FAQ
Come capisco se un adesivo QR code è falso?
Cerca bordi in rilievo, dimensioni o finiture diverse e qualsiasi cosa applicata sopra l'originale. Poi scansionalo e verifica che la destinazione o il nome del beneficiario corrispondano alla tua attività.
Un QR code dinamico impedisce la manomissione?
No. Un adesivo può essere applicato sopra qualsiasi codice stampato. Un codice dinamico ti aiuta a monitorare le scansioni e a cambiare rapidamente destinazione, così i problemi sono più facili da individuare e risolvere.
Ogni quanto devo controllare i miei QR code?
È meglio controllare ogni giorno, possibilmente all'apertura, i codici in zone pubbliche o molto frequentate. Quelli in aree riservate al personale o sorvegliate si possono controllare meno spesso.
Cosa devono controllare i clienti prima di pagare con QR?
Devono verificare che il nome del beneficiario e l'importo nell'app della banca corrispondano al negozio prima di approvare il pagamento.
Proteggere i QR code stampati è soprattutto una questione di routine: sapere dove sono i tuoi codici, controllarli spesso e rendere i falsi facili da individuare. Crea codici dinamici tracciabili con il generatore di QR code gratuito di QR-TH e usa le statistiche di scansione per tenere d'occhio ogni postazione.