Truffe con i QR code (quishing): come riconoscerle e difendersi

Un adesivo sul parchimetro, un avviso di multa sotto il tergicristallo, un menu da scansionare al tavolo, un biglietto nella cassetta della posta che parla di un pacco non consegnato. Sono tutti QR code, e proprio per questo sono diventati uno strumento perfetto per i truffatori: non si legge l’indirizzo a cui portano, e li inquadriamo quasi per riflesso. In questa guida vediamo come riconoscere le truffe con i QR code, il cosiddetto quishing, nei casi più comuni (parcheggi, multe, ristoranti e pacchi) e cosa fare subito se hai già pagato o inserito i tuoi dati.

Cos’è il quishing e perché funziona così bene

Il quishing è il phishing fatto con un QR code. Invece di un link in un SMS o in un’email, il truffatore ti fa inquadrare un codice che apre una pagina falsa: un modulo di pagamento, una pagina di accesso alla banca, un sito che chiede i dati della carta.

Funziona per tre motivi:

• Non vedi dove stai andando: un QR code è un quadrato di puntini, l’indirizzo compare solo dopo la scansione e spesso per pochi secondi.
• Il contesto sembra ufficiale: un adesivo su un parchimetro o un foglio con lo stemma del Comune ispirano fiducia.
• Si usa il telefono: sullo schermo piccolo è più difficile controllare l’indirizzo e molti filtri anti-phishing della posta aziendale non leggono le immagini.

Parcheggi e parchimetri: l’adesivo sopra quello vero

È la truffa più diffusa. Il truffatore incolla un adesivo con un QR code falso sopra quello originale del parchimetro, oppure accanto con la scritta “paga con lo smartphone”. La pagina che si apre sembra quella di un’app di sosta, chiede targa, durata e dati della carta. Il pagamento va al truffatore e, in molti casi, la carta viene usata subito dopo per altri acquisti.

Come difenderti:

• Tocca il QR code: se senti il bordo di un adesivo, se è storto o coperto da un altro, non usarlo.
• Paga con l’app ufficiale che hai già installato, oppure con monete o carta direttamente al parchimetro.
• Diffida delle pagine che chiedono di scaricare un’app “per completare il pagamento” o che chiedono dati non necessari, come il PIN della carta.

Finte multe con QR code: il foglio sotto il tergicristallo

Un’altra variante è il falso avviso di contravvenzione lasciato sul parabrezza. Il foglio imita un verbale, indica una sanzione ridotta “se paghi entro 24 ore” e invita a inquadrare il QR code per saldare. La fretta e lo sconto sono il gancio.

Ricorda che una multa vera arriva con riferimenti precisi (numero di verbale, ente, articolo violato) e si può verificare in modo indipendente. Non pagare mai tramite il codice stampato sul foglio: cerca tu il sito ufficiale del Comune o dell’ente che risulta averla emessa e controlla da lì se la multa esiste. Se il foglio è falso, conservalo: è utile per la segnalazione.

Ristoranti, bar e locali: menu e pagamento al tavolo

Molti locali usano QR code per il menu o per pagare il conto al tavolo. I truffatori possono sostituire il cartoncino o coprire il codice con un adesivo, portando a una pagina di pagamento clonata. In altri casi il QR code porta a un falso questionario “di soddisfazione” che promette un buono sconto in cambio dei dati personali.

• Il menu non dovrebbe mai chiedere dati della carta o di accesso: se succede, chiudi la pagina.
• Per pagare, chiedi al personale il terminale POS o il conto da pagare in cassa.
• Se qualcosa non torna, avvisa il gestore: probabilmente non sa che il suo QR code è stato manomesso.

Pacchi e corrieri: avvisi di giacenza e lettere con QR code

Il classico SMS del “pacco in giacenza” ora arriva anche su carta: un avviso lasciato nella cassetta della posta o sulla porta, con un QR code per “riprogrammare la consegna” o “pagare le spese di sdoganamento”. A volte il codice si trova direttamente dentro un’email, sotto forma di immagine, per aggirare i filtri antispam.

In tutti questi casi vale la stessa regola già vista per i siti e gli SMS truffa del Black Friday: non seguire il link o il codice ricevuto, apri tu l’app o il sito ufficiale del corriere e inserisci il numero di spedizione a mano. Un corriere non chiede mai i dati completi della carta per una piccola cifra di sdoganamento tramite un QR code.

Come riconoscere un QR code truffa: 7 controlli rapidi

1. Guarda il supporto: adesivi sovrapposti, bordi rialzati, stampe sbiadite o storte sono un campanello d’allarme.
2. Leggi l’anteprima dell’indirizzo: quasi tutte le fotocamere mostrano l’indirizzo prima di aprirlo. Fermati e leggilo con calma.
3. Controlla il dominio: lettere scambiate, parole in più, trattini, estensioni insolite o indirizzi accorciati sono sospetti.
4. Diffida dell’urgenza: “paga entro 24 ore”, “ultimo avviso”, “sconto se paghi subito” sono frasi tipiche delle truffe.
5. Nessun download: un QR code che ti chiede di installare un’app o un profilo sul telefono va ignorato.
6. Dati richiesti: PIN, codici ricevuti via SMS, password della banca non vanno mai inseriti in una pagina aperta da un QR code.
7. Quando hai un’alternativa, usala: app ufficiale, sito digitato a mano, pagamento in cassa. Il QR code è comodo, non obbligatorio.

Se il telefono si comporta in modo strano dopo una scansione (pop-up, batteria che si scarica in fretta, app che non ricordi di aver installato), leggi la nostra guida su come capire se il telefono è spiato o hackerato.

Cosa fare se hai già pagato o inserito i dati

1. Blocca subito la carta dall’app della banca o chiamando il numero dedicato, e chiedi la contestazione dell’addebito.
2. Cambia le password se hai inserito credenziali, a partire da quella della banca e dell’email, e attiva la verifica in due passaggi.
3. Controlla i movimenti nei giorni successivi: spesso i truffatori fanno prima un piccolo addebito di prova.
4. Fai una foto del QR code, dell’adesivo o del foglio, e salva l’indirizzo della pagina e le ricevute: serviranno per la denuncia.
5. Segnala la truffa alla Polizia Postale, anche online sul portale commissariatodips.it, e avvisa il Comune o il gestore del parcheggio o del locale, così possono rimuovere il codice falso.

Domande frequenti sulle truffe con i QR code

Basta scansionare un QR code per essere truffati?

Di solito no: la scansione apre solo una pagina. Il danno arriva quando inserisci dati, paghi o installi qualcosa. Per questo il momento giusto per fermarsi è subito dopo la scansione, prima di toccare qualsiasi pulsante.

Le app per leggere i QR code sono sicure?

La fotocamera integrata del telefono è in genere la scelta migliore, perché mostra l’anteprima dell’indirizzo. Evita app di terze parti poco conosciute che chiedono molti permessi.

Una multa con QR code può essere vera?

Alcuni enti usano QR code sui documenti di pagamento, ma una sanzione vera si può sempre verificare in modo indipendente sul sito ufficiale dell’ente. Se hai dubbi, non pagare dal codice e controlla prima.

In sintesi

Il QR code non è pericoloso in sé, ma nasconde l’indirizzo a cui porta. Prima di inquadrarlo guarda se è un adesivo sovrapposto, dopo la scansione leggi l’indirizzo, e per pagare preferisci sempre l’app ufficiale o il pagamento in cassa. Se hai già inserito i dati, blocca la carta, cambia le password e segnala subito: muoversi in fretta riduce il danno.