Menu al ristorante, parcheggi, pagamenti: i QR code (Quick Response Code) hanno semplificato l’accesso a molti servizi. La loro comodità, però, è diventata anche una vulnerabilità.
Il quishing (QR + phishing) è la versione aggiornata del phishing: consiste nel sostituire o posizionare un QR code malevolo in un luogo pubblico o in una comunicazione apparentemente legittima.
Invece di convincerti a digitare un indirizzo web, il truffatore sfrutta l’automatismo della scansione e ti porta direttamente su un sito fraudolento.
Come funziona l'inganno via QR Code
Il meccanismo è subdolo perché salta il momento in cui potresti leggere l’indirizzo. Di solito si svolge così:
il criminale applica un adesivo con un QR code malevolo sopra un codice legittimo, ad esempio su un parchimetro, un cartellone pubblicitario o una lettera;
scansioni il codice pensando di accedere a un servizio lecito, come pagare la sosta o visualizzare un menu;
il codice apre nel browser dello smartphone un sito di phishing, spesso un finto modulo di pagamento o una finta pagina di accesso a un servizio;
inserisci i dati richiesti, ad esempio quelli della carta di credito per un pagamento che non esiste;
le informazioni arrivano direttamente ai truffatori.
Tutto avviene in pochi secondi, ed è proprio questa rapidità a rendere il quishing efficace.
Prima di scansionare: dove si nasconde la trappola?
Non puoi “leggere” l’indirizzo nascosto in un QR code prima di scansionarlo. Per questo conta osservare l’ambiente intorno e la pagina che si apre. Presta particolare attenzione quando:
il codice è un adesivo applicato in modo rudimentale sopra un altro codice;
il supporto mostra segni di manomissione fisica;
l’URL che compare dopo la scansione è abbreviato;
l’indirizzo contiene errori di battitura o sembra non correlato al servizio;
la pagina ti chiede di scaricare un’app o un file per procedere.
Basta uno solo di questi segnali per chiudere la pagina senza inserire nulla.
Le regole d’oro di Sparkasse contro il quishing
Ispeziona il codice: in un luogo pubblico, controlla che il QR code non sia un adesivo sovrapposto a un altro. La manomissione fisica è spesso un indizio.
Controlla l’URL dopo la scansione: prima di inserire qualsiasi dato, guarda con attenzione l’indirizzo nella barra di navigazione. Deve essere quello ufficiale del servizio.
Chiudi le pagine sospette: se l’URL è abbreviato, contiene errori di battitura o non c’entra con il servizio, chiudi subito la pagina.
Non scaricare nulla: se un QR code ti chiede di installare un’app o un file per procedere, non farlo.
Fai particolare attenzione quando paghi: usa i QR code per le transazioni finanziarie con particolare cautela e verifica sempre l’autenticità del servizio prima di inserire informazioni sensibili.
Non condividere i codici: non ti chiederemo mai di comunicare credenziali complete, PIN o codici OTP tramite telefono, email o messaggi.
Un QR code è solo una scorciatoia: la destinazione va sempre controllata. Se hai un dubbio, siamo qui: contattaci attraverso i canali ufficiali.
