Una truffa con QR code, spesso chiamata quishing, usa un QR code per portarti su un sito falso che ruba password, dati della carta o denaro. Poiché un QR code non si può leggere a occhio nudo, i truffatori ci nascondono dentro link malevoli. La difesa migliore è semplice: controlla sempre l'anteprima del link prima di aprirlo o di pagare.
I QR code sono comodi, ed è proprio per questo che piacciono ai criminali. Ecco come funziona il quishing e come riconoscerlo.
Cos'è il quishing?
Quishing è la fusione di "QR" e "phishing". Il phishing è qualsiasi raggiro in cui qualcuno si spaccia per un'organizzazione affidabile, come una banca, un corriere o un ufficio pubblico, per farti consegnare informazioni riservate. Il quishing fa la stessa cosa, ma il link falso arriva tramite un QR code invece che con un normale link cliccabile.
Per i truffatori funziona per diversi motivi:
- Non vedi il link. Un QR code ha lo stesso aspetto sia che porti alla tua banca sia che porti a una sua copia falsa.
- Ti sposta sul telefono. Su uno schermo piccolo è più difficile controllare la barra degli indirizzi o accorgersi di un dominio leggermente sbagliato.
- Può aggirare i filtri. I filtri di email e messaggi sono bravi a individuare link sospetti nel testo, ma un link nascosto in un'immagine può sfuggire più facilmente.
- Ci fidiamo dei QR code. Li scansioniamo ogni giorno al ristorante e nei negozi, quindi raramente ci fermiamo a pensare.
Le autorità per la tutela dei consumatori e le banche di molti Paesi hanno messo in guardia il pubblico dalle frodi con QR code, in particolare dai codici falsi su parchimetri, cartelli di pagamento e nelle email.
Dove compaiono le truffe con QR code
Il quishing può presentarsi quasi ovunque ci si aspetti di trovare un QR code. I luoghi più comuni sono:
- Adesivi su oggetti pubblici. Un codice falso incollato sopra quello vero su un parchimetro, una colonnina di ricarica, una stazione di bike sharing o una fermata dell'autobus.
- Casse e banconi. Un QR di pagamento sostituito in un negozio o al mercato, che invia i soldi al truffatore invece che all'esercente.
- Email. Messaggi che dicono che la tua password sta per scadere, che c'è un documento da firmare o che il tuo account è bloccato, con un QR code per "risolvere".
- Lettere e avvisi di consegna. Falsi avvisi di mancata consegna o lettere dall'aspetto ufficiale che chiedono di scansionare e pagare una piccola somma.
- Volantini e manifesti. Offerte troppo belle per essere vere, come regali gratis o sconti enormi, che portano a un finto negozio o a un modulo che raccoglie dati.
- Social network e chat. Codici condivisi in gruppi o messaggi privati, spesso con un tono di urgenza.
Per altri scenari reali, leggi la nostra guida alle truffe con QR code più comuni.
I segnali di un QR code falso
Per riconoscere la maggior parte delle truffe con QR code non servono competenze tecniche. Fai attenzione a questi campanelli d'allarme:
- Un adesivo sopra un altro codice. Passa il dito sul codice. Se è in rilievo, si stacca ai bordi o sembra più nuovo del cartello intorno, insospettisciti.
- Un link che non corrisponde. L'anteprima mostra un dominio diverso da quello ufficiale dell'organizzazione, scritto in modo strano o composto da una lunga serie di caratteri casuali.
- Urgenza o minacce. "Il tuo account verrà chiuso oggi" o "paga entro un'ora" sono classiche tecniche di pressione.
- Richiesta di credenziali o dati della carta. Un parchimetro, un menu o un avviso di consegna difficilmente hanno bisogno della password della tua banca.
- Il download di un'app che non ti aspettavi. Fai molta attenzione se un QR code ti chiede di installare un'app, soprattutto fuori dallo store ufficiale.
- Un QR code in un'email che ti chiede di accedere. I servizi legittimi di solito ti fanno accedere dal loro sito o dalla loro app.
- Un beneficiario sbagliato al momento del pagamento. Se il nome mostrato nell'app della banca non è quello del negozio che stai pagando, fermati.
Come proteggersi dalle truffe con QR code
Le buone abitudini rendono il quishing molto meno efficace. Ecco una checklist pratica:
- Leggi prima l'anteprima. La fotocamera ti mostra il link prima di aprirlo. Prenditi due secondi per leggere il dominio.
- Nel dubbio, vai direttamente al sito. Invece di scansionare, digita tu l'indirizzo del sito dell'azienda o apri la sua app ufficiale.
- Controlla il beneficiario prima di pagare. Le app bancarie mostrano chi riceverà i soldi. Verifica che corrisponda all'attività. La nostra guida alla sicurezza dei pagamenti con QR code approfondisce il tema.
- Non inserire mai password dopo aver scansionato un codice sconosciuto. Se una pagina ti chiede di accedere, chiudila ed entra dall'app ufficiale.
- Attiva l'accesso in due passaggi. Anche se qualcuno ruba la password, un'app di autenticazione aggiunge una seconda barriera.
- Tieni aggiornato il telefono. Gli aggiornamenti di sicurezza correggono le vulnerabilità che le pagine malevole potrebbero sfruttare.
- Usa uno scanner che mostra l'anteprima in sicurezza. Quando hai dubbi, scansiona il codice con uno strumento che ti mostra la destinazione prima di aprire qualsiasi cosa.
Su QR-TH ogni link breve viene controllato con Google Safe Browsing al momento della creazione e ricontrollato ogni notte. I visitatori possono anche vedere una pagina di caricamento che mostra dove porta il link prima di aprirlo. Strumenti come questi aiutano, ma funzionano al meglio insieme al tuo buon senso.
Cosa fare se hai scansionato un QR code falso
Se ti accorgi di aver aperto una pagina sospetta, agisci in fretta ma con calma:
- Chiudi la pagina e non inserire altro.
- Se hai digitato una password, cambiala subito sul sito vero e ovunque tu abbia usato la stessa password.
- Se hai inserito dati della carta o del conto, contatta immediatamente la banca usando il numero sulla carta o nell'app ufficiale.
- Se hai installato un'app, disinstallala ed esegui il controllo di sicurezza del telefono.
- Segnala il codice all'attività o al gestore del luogo perché lo rimuova e, se hai perso denaro, alle autorità competenti.
La nostra guida passo passo su cosa fare dopo aver scansionato un QR code malevolo entra più nel dettaglio.
Consigli per le attività commerciali
Se esponi dei QR code, puoi rendere la vita difficile ai truffatori. Controlla regolarmente i codici stampati per individuare eventuali adesivi, insegna al personale a notare le manomissioni e usa QR code dinamici su un dominio che controlli, così puoi vedere le statistiche di scansione e aggiornare i link rapidamente. Anche stampare il nome dell'attività accanto ai codici di pagamento aiuta i clienti a verificare di pagare la persona giusta.
FAQ
Scansionare un QR code può hackerare il telefono?
La semplice scansione di un QR code non "buca" il telefono. Il pericolo sta in quello che fai dopo: visitare un sito falso, inserire dati o installare un'app. Controlla sempre il link prima di aprirlo.
Come capisco se un QR code è falso?
Cerca adesivi incollati sopra altri codici, leggi con attenzione l'anteprima del link e diffida di qualsiasi pagina che chieda password, dati della carta o un pagamento urgente. Nel dubbio, visita direttamente il sito ufficiale.
I QR code nelle email sono sicuri?
Trattali con particolare cautela. Un QR code in un'email che ti chiede di accedere, verificare un account o pagare una commissione è un trucco di phishing molto diffuso. Vai direttamente sul sito del servizio invece di scansionarlo.
A chi segnalare una truffa con QR code?
Avvisa l'attività o il gestore del luogo in cui hai trovato il codice, contatta la banca se sono coinvolti soldi o dati della carta e sporgi denuncia alla Polizia Postale, alle forze dell'ordine o all'autorità per la tutela dei consumatori.
Il quishing si basa sul fatto che le persone scansionano senza pensarci. Una pausa di due secondi per leggere il link spesso basta per restare al sicuro. La prossima volta che un codice non ti convince, usa lo scanner di QR code online di QR-TH per vedere dove porta davvero prima di aprirlo.