Se hai scansionato un QR code malevolo, niente panico: nella maggior parte dei casi la sola scansione non ha fatto alcun danno. Il rischio vero dipende da ciò che è successo dopo. Chiudi la pagina, poi verifica se hai digitato una password, inserito i dati della carta, pagato, installato un'app o concesso permessi, e intervieni subito su ciascun punto.
Prima di tutto, ricostruisci cosa è successo davvero
Un QR code è solo un modo per memorizzare testo, di solito un indirizzo web. Quando la fotocamera lo legge, il telefono di norma ti mostra il link e aspetta che tu lo tocchi. Quindi la domanda importante non è "L'ho scansionato?", ma "Cosa ho fatto dopo la scansione?"
Ripensaci con sincerità. Hai:
- Visto solo l'anteprima e chiuso senza aprire nulla?
- Aperto una pagina web senza inserire niente?
- Digitato nome utente, password o un codice usa e getta in una pagina di accesso?
- Inserito dati della carta, coordinate bancarie o informazioni personali come numero del documento o indirizzo?
- Pagato, per esempio tramite un QR code di pagamento o una finta pagina di parcheggio o di consegna?
- Scaricato e installato un'app o un "profilo", oppure consentito le notifiche?
Ogni risposta porta a un passo diverso. Se hai visto solo l'anteprima, quasi certamente non è successo nulla. Se hai solo aperto una pagina senza digitare niente, il rischio è basso, ma vale comunque la pena fare qualche controllo rapido.
Passo dopo passo: cosa fare adesso
Segui questo elenco dall'inizio. Salta i passaggi che non ti riguardano.
- Chiudi la pagina e scollegati se qualcosa non ti convince. Chiudi la scheda del browser. Se è partito un download o il telefono si comporta in modo strano, attiva la modalità aereo mentre controlli.
- Cambia ogni password che hai inserito. Fallo dall'app ufficiale o digitando tu l'indirizzo vero del sito, mai da un link presente nella pagina sospetta. Se usi la stessa password altrove, cambiala anche lì.
- Attiva la verifica in due passaggi. Aggiungi un'app di autenticazione all'account appena messo in sicurezza, così una password rubata da sola non basta più. La nostra guida all'autenticazione a due fattori spiega come fare.
- Chiama la banca se hai condiviso dati finanziari o hai pagato. Usa il numero sul retro della carta o quello nell'app ufficiale della banca. Chiedi di bloccare la carta, di monitorare le transazioni insolite e se un pagamento può essere contestato o richiamato. Qui la rapidità conta.
- Rimuovi tutto ciò che hai installato. Elimina app, profili di configurazione o estensioni del browser sconosciuti. Su Android, verifica che nessuna app sconosciuta abbia accesso ai servizi di accessibilità o i privilegi di amministratore del dispositivo. Revoca dalle impostazioni del browser i permessi di notifica concessi a siti strani.
- Esci dalle altre sessioni. Molti servizi, tra cui email e social network, mostrano le sessioni attive e permettono di disconnettere tutti gli altri dispositivi. Fallo dopo aver cambiato la password.
- Aggiorna il telefono ed esegui un controllo di sicurezza. Installa gli aggiornamenti di sistema in sospeso. Su Android avvia Google Play Protect; su qualsiasi telefono, controlla le app installate di recente.
- Segnala l'accaduto. Avvisa la banca, il servizio di cui hanno usato il nome e, se opportuno, le forze dell'ordine: in Italia puoi rivolgerti anche alla Polizia Postale. Se il QR code era su un cartello o un parchimetro, avvisa l'attività o l'ente che lo gestisce, così può rimuoverlo.
Se hai inserito una password o un codice usa e getta
Le pagine di phishing dietro ai QR code di solito copiano una schermata di accesso familiare, come quella di un provider email, di un corriere o di una banca. Spesso gli attaccanti provano subito le credenziali rubate, a volte nel giro di pochi minuti.
Dopo aver cambiato la password, controlla l'account alla ricerca di modifiche sospette:
- Nuove regole di inoltro o filtri nella posta
- Numero di telefono o email di recupero cambiati
- Dispositivi o luoghi sconosciuti nella cronologia di sicurezza o degli accessi
- Messaggi inviati dal tuo account che non hai scritto tu
Se hai digitato nella pagina falsa un codice usa e getta ricevuto via SMS o da un'app di autenticazione, dai per scontato che l'attaccante possa averlo usato per accedere. Cambia la password, chiudi tutte le sessioni e controlla subito le impostazioni di recupero.
Se hai pagato o condiviso i dati della carta
Contatta il prima possibile la banca o il fornitore del portafoglio digitale attraverso i canali ufficiali. Spiega che sei stato ingannato tramite un QR code, indica ora e importo e segui le loro istruzioni. Conserva gli screenshot della conferma di pagamento, del nome del beneficiario mostrato e della pagina su cui sei arrivato.
Controlla anche gli estratti conto nelle settimane successive. A volte i truffatori provano una carta con un piccolo addebito prima di tentarne uno più grande. Se hai condiviso il numero del documento o l'indirizzo, fai particolare attenzione a chiamate, messaggi o email che sembrano "conoscerti", perché quelle informazioni possono rendere più convincenti le truffe successive.
Per i QR code di pagamento in particolare, leggi come pagare con un QR code in sicurezza, che spiega come controllare il nome del beneficiario prima di confermare.
Se hai installato un'app o un profilo
Le app installate fuori dagli store ufficiali, e i profili di configurazione su iPhone, possono essere usati per spiare l'attività o rubare dati. Prima rimuovili, poi controlla:
- Le impostazioni di gestione del dispositivo o dei profili, ed elimina tutto ciò che non riconosci
- I permessi di accessibilità e di amministratore del dispositivo su Android, che le app malevole chiedono spesso
- I permessi di notifica del browser, che i siti truffa usano per mostrare falsi avvisi
Se non riesci a rimuovere qualcosa, o il telefono continua a mostrare pop-up, fai un backup di foto e dati importanti e valuta un ripristino alle impostazioni di fabbrica. Poi reinstalla le app solo dallo store ufficiale.
Come evitarlo la prossima volta
Le truffe con QR code funzionano perché il codice nasconde la destinazione. Alcune abitudini chiudono questa falla:
- Leggi l'anteprima del link prima di toccarlo. Controlla bene il dominio, cercando errori di battitura o parole in più.
- Diffida dei QR code incollati sopra altri codici, soprattutto su parchimetri, poster e punti di pagamento.
- Non accedere né pagare mai su una pagina raggiunta da un QR code che non ti aspettavi. Apri invece l'app ufficiale.
- Considera l'urgenza un campanello d'allarme. "Paga subito per evitare la multa" o "il tuo pacco verrà rispedito al mittente" sono classiche tattiche di pressione.
Se hai dubbi su un codice, puoi prima scansionare il QR code online con QR-TH. Legge il codice nel browser e mostra la destinazione prima che si apra qualsiasi cosa, così puoi decidere con calma. Per altri segnali d'allarme, consulta la nostra guida alle truffe con QR code e al quishing.
FAQ
Scansionare un QR code può hackerare il telefono da solo?
È molto improbabile. Su un telefono aggiornato, la scansione di solito mostra solo un testo o un link. Il danno nasce normalmente dall'aprire una pagina malevola e poi inserire dati, pagare o installare qualcosa.
Ho aperto il link ma non ho digitato nulla. Sono al sicuro?
Il rischio è basso. Chiudi la pagina, revoca gli eventuali permessi concessi a quel sito e tieni aggiornati telefono e browser. Se è stato scaricato qualcosa, eliminalo senza aprirlo.
Devo ripristinare il telefono alle impostazioni di fabbrica?
Solo se hai installato qualcosa che non riesci a rimuovere o se il telefono si comporta in modo anomalo anche dopo la pulizia. In caso di password o dati della carta rubati, il ripristino non serve; servono il cambio delle password e il contatto con la banca.
A chi devo segnalare una truffa con QR code?
Alla banca se sono coinvolti soldi, all'azienda di cui hanno usato il nome e alla polizia o al servizio ufficiale di segnalazione delle frodi del tuo Paese, in Italia per esempio la Polizia Postale. Se il codice era su un cartello pubblico, avvisa chi lo gestisce.
Una scansione sospetta mette ansia, ma agire in fretta limita i danni in quasi tutti i casi. La prossima volta che un codice ti sembra strano, controllalo prima di aprirlo: prova lo scanner online gratuito di QR-TH per vedere esattamente dove porta un QR code.