QR code falsi: come riconoscerli, cosa succede se li scansioni e come difenderti

I QR code sono ormai ovunque: ristoranti, parcheggi, biglietti, pagamenti, volantini, fatture e servizi pubblici.

Proprio questa familiarità li rende utili anche ai truffatori.

Un QR code falso può infatti rimandare a una pagina costruita per rubare dati, credenziali o informazioni bancarie.

Potrebbe interessarti anche:

• QR Code Pericoloso: Come Evitare le Truffe e Proteggere lo Smartphone
• QR code falsi: come riconoscerli prima di scansionarli
• Truffe 2.0: perché recuperare i soldi è diventata una sfida tra algoritmi e diritto

La cosa più importante da capire è questa:

il QR code in sé non è un virus.

È semplicemente un modo grafico per aprire un link o trasmettere alcune informazioni.

Il rischio nasce soprattutto da ciò che succede dopo la scansione.

Cos’è un QR code falso

Un QR code falso è un codice che porta a una destinazione diversa da quella che l’utente si aspetta.

Può essere:

• stampato direttamente su un volantino;
• incollato sopra un QR code legittimo;
• inserito in una falsa multa;
• utilizzato su un parchimetro;
• inviato via email o messaggio;
• mostrato su una pagina web compromessa.

Il QR code può apparire perfettamente normale.

La truffa consiste nel collegamento nascosto al suo interno.

Cos’è il quishing

Il termine quishing nasce dall’unione di “QR code” e “phishing”.

Il meccanismo è simile al phishing tradizionale.

La differenza è che invece di cliccare direttamente un link, la vittima scansiona un QR code che la porta su una pagina fraudolenta.

Questa pagina può imitare:

• una banca;
• un servizio di pagamento;
• un parcheggio;
• un corriere;
• un negozio;
• un sistema di autenticazione.

Cosa succede se scansioni un QR code falso

Dipende da quello che fai dopo.

Scansionare il codice può semplicemente mostrarti un link.

Il rischio aumenta se poi:

• apri il sito;
• inserisci una password;
• comunichi dati bancari;
• effettui un pagamento;
• scarichi un file;
• installi un’app;
• autorizzi notifiche o permessi.

Per questo non bisogna confondere scansione e compromissione.

Se ho solo scansionato il QR code devo preoccuparmi?

Non necessariamente.

Se hai inquadrato il codice ma non hai aperto il link, inserito dati o scaricato nulla, il rischio è molto più basso.

Anche se hai aperto la pagina, non significa automaticamente che il telefono sia stato infettato.

La domanda decisiva è:

cosa hai fatto dopo?

Come riconoscere un QR code falso prima di scansionarlo

Non sempre è possibile capirlo visivamente.

Un QR code malevolo può sembrare identico a uno legittimo.

Ci sono però alcuni segnali utili.

Controlla se è stato applicato un adesivo

Nei luoghi pubblici controlla se il QR code sembra:

• sovrapposto;
• stampato su un adesivo;
• applicato sopra un altro codice;
• diverso dal resto della grafica.

È una tecnica semplice ma efficace.

Un truffatore può coprire il QR code originale con uno proprio.

Fai attenzione ai parchimetri

Un QR code applicato su un parchimetro può rimandare a una falsa pagina di pagamento.

Prima di pagare:

• controlla il nome del servizio;
• verifica il dominio;
• confrontalo con le indicazioni ufficiali presenti sul parchimetro.

Se hai già un’app ufficiale per il parcheggio, è generalmente preferibile aprirla direttamente.

Attenzione alle false multe

Un QR code presente su un foglio lasciato sul parabrezza non deve essere considerato automaticamente legittimo.

Controlla:

• ente indicato;
• targa;
• importo;
• riferimenti ufficiali;
• sito web.

Se hai dubbi, cerca il sito dell’ente manualmente invece di usare il QR code.

Guarda l’URL prima di aprirlo

Molti smartphone mostrano l’indirizzo di destinazione prima di aprire il browser.

Fermati qualche secondo.

Controlla:

• nome del dominio;
• errori ortografici;
• lettere sostituite;
• domini molto lunghi;
• sottodomini strani.

Un indirizzo come:

pagamento-comune.example.com

non significa necessariamente che appartenga al Comune.

La parte importante è il vero dominio del sito.

HTTPS significa che il sito è sicuro?

No.

La presenza del lucchetto o di HTTPS significa soltanto che la connessione tra il dispositivo e il sito è cifrata.

Non significa che il sito sia affidabile.

Anche una pagina di phishing può utilizzare HTTPS.

Il QR code del ristorante può essere falso?

Sì, almeno teoricamente.

Se qualcuno sostituisce il QR code del menu con uno malevolo, può portarti su una pagina diversa.

Prima di aprire un sito chiediti se il dominio ha senso rispetto al locale.

Se il QR code del menu ti porta improvvisamente a una pagina che chiede:

• carta di credito;
• password;
• download di app;

fermati.

Un QR code può installare un virus automaticamente?

Nella maggior parte dei casi, il semplice QR code non installa nulla da solo.

Il codice contiene normalmente un link o altre informazioni.

Il rischio aumenta se l’utente:

• scarica un file;
• installa un’app;
• concede autorizzazioni;
• utilizza un dispositivo non aggiornato esposto a vulnerabilità.

Quindi non bisogna creare panico: scansionare non equivale automaticamente a infettare.

Cosa fare se hai aperto un QR code sospetto

Se hai solo aperto la pagina:

1. chiudila;
2. non inserire dati;
3. controlla se è partito un download;
4. non accettare notifiche o permessi;
5. non tornare sul sito per “controllare meglio”.

Se hai inserito una password

Vai direttamente sul sito o sull’app ufficiale del servizio coinvolto.

Cambia la password.

Se la stessa password viene utilizzata anche altrove, cambiala sugli altri account.

Attiva l’autenticazione a due fattori quando disponibile.

Se hai inserito dati bancari

Contatta la banca attraverso i canali ufficiali.

Controlla:

• movimenti;
• operazioni pendenti;
• pagamenti;
• autorizzazioni.

Se hai fornito dati sensibili della carta, valuta con la banca se sospenderla o sostituirla.

Se hai effettuato un pagamento

Conserva:

• ricevuta;
• screenshot;
• indirizzo del sito;
• eventuali email;
• importo;
• data e ora.

Contatta il gestore della carta o la banca appena possibile.

Se hai scaricato un file

Non aprirlo se non lo riconosci.

Su Android presta particolare attenzione ai file APK provenienti da fonti esterne.

Se hai già installato un’app sospetta:

• controlla le app installate di recente;
• rimuovila;
• verifica i permessi concessi;
• aggiorna il dispositivo.

Se il QR code apre una richiesta di login

Prima di inserire le credenziali chiediti:

perché questa scansione dovrebbe richiedermi di effettuare il login?

Se stavi semplicemente:

• pagando un parcheggio;
• leggendo un menu;
• consultando un volantino;

una schermata improvvisa di accesso può essere un forte segnale di rischio.

QR code ricevuto via email

Il quishing viene utilizzato anche nelle email.

Il QR code può servire a bypassare alcuni filtri che controllano i link presenti nel testo.

Una falsa email può chiederti di:

• verificare Microsoft 365;
• confermare Google;
• rinnovare una password;
• accedere alla banca.

Scansionare il QR code con il telefono sposta la navigazione dal computer allo smartphone e può rendere più difficile notare l’indirizzo completo.

QR code su WhatsApp o SMS

Vale la stessa regola.

Non fidarti soltanto perché il codice arriva da:

• un amico;
• un collega;
• un contatto conosciuto.

Il suo account potrebbe essere stato compromesso.

Come controllare un QR code senza aprire il sito

Il metodo più semplice è utilizzare l’anteprima mostrata dalla fotocamera o dall’app di scansione.

Leggi il dominio prima di confermare l’apertura.

Se il telefono apre automaticamente il sito, valuta di utilizzare un lettore che mostri prima la destinazione.

Posso usare VirusTotal?

Servizi come VirusTotal possono fornire informazioni aggiuntive su un URL.

Possono essere utili, ma non devono essere considerati una garanzia assoluta.

Un sito appena creato potrebbe non essere ancora stato classificato come pericoloso.

Un QR code può rubare i dati senza che io faccia nulla?

Non è corretto considerarlo automatico.

Il rischio tipico del quishing è convincerti a interagire con una pagina fraudolenta.

Le azioni più pericolose sono:

• inserire credenziali;
• fornire dati bancari;
• autorizzare accessi;
• installare software.

QR code per pagamenti: cosa controllare

Prima di pagare verifica:

• nome del beneficiario;
• importo;
• dominio;
• servizio utilizzato;
• esercente.

Se compare un beneficiario che non riconosci, non confermare.

QR code nei ristoranti

Per un menu, normalmente dovresti arrivare a:

• sito del ristorante;
• PDF;
• piattaforma menu.

Se invece compare una pagina che richiede informazioni insolite, chiudi tutto.

QR code sui pacchi

Anche imballaggi e avvisi di consegna possono essere imitati.

Se un QR code chiede un piccolo pagamento per “sbloccare” una spedizione, verifica prima direttamente dal sito ufficiale del corriere.

QR code su volantini e manifesti

Un codice pubblico può essere sostituito facilmente con un adesivo.

Fai attenzione soprattutto quando il QR code riguarda:

• pagamenti;
• donazioni;
• concorsi;
• accessi;
• offerte.

Segnali di una pagina aperta da un QR code sospetto

Fermati se il sito:

• crea forte urgenza;
• chiede dati bancari;
• chiede credenziali;
• apre popup;
• propone APK;
• chiede di disattivare protezioni;
• mostra un dominio diverso da quello atteso.

Cosa NON fare

Non:

• inserire dati “per vedere se funziona”;
• pagare piccole somme solo perché sembrano innocue;
• installare app richieste dalla pagina;
• concedere permessi inutili;
• ignorare il dominio;
• fidarti soltanto del lucchetto HTTPS.

QR code falso e phishing sono la stessa cosa?

Il quishing è una forma di phishing.

La differenza principale riguarda il mezzo utilizzato.

Nel phishing tradizionale clicchi un link.

Nel quishing lo stesso link viene nascosto dentro un QR code.

Tabella rapida

Come difendersi dal quishing

La regola più utile è questa:

controlla sempre la destinazione, non il QR code.

Un QR può apparire perfetto.

È il sito finale che devi valutare.

In particolare:

• guarda il dominio;
• chiediti se ha senso;
• non fornire dati sensibili senza motivo;
• preferisci app e siti ufficiali;
• non agire sotto pressione.

Devo disattivare completamente i QR code?

No.

I QR code sono uno strumento utile e nella maggior parte dei casi legittimo.

Non serve evitarli.

Serve usarli con la stessa attenzione che utilizzeresti per un link ricevuto via email o WhatsApp.

In sintesi

Un QR code falso non è automaticamente un virus.

Il pericolo principale è il link che contiene e ciò che l’utente fa dopo averlo aperto.

Prima di proseguire:

• controlla il dominio;
• verifica che il codice non sia stato coperto da un adesivo;
• diffida delle richieste di pagamento impreviste;
• non inserire password o dati bancari senza aver verificato il sito.

Se hai già scansionato il QR code, non entrare nel panico.

Ricostruisci quello che è successo dopo:

hai soltanto aperto la pagina oppure hai inserito dati, pagato o installato qualcosa?

È questa distinzione a determinare cosa devi fare.

Domande frequenti

Un QR code può contenere un virus?

Un QR code contiene normalmente dati o un collegamento. Il rischio nasce soprattutto dalla pagina o dal file a cui rimanda.

Posso prendere un virus solo scansionando un QR code?

Non è ciò che accade normalmente. Il rischio aumenta se apri contenuti malevoli, installi file o sfrutti un dispositivo vulnerabile.

Come faccio a sapere dove porta un QR code?

Controlla l’anteprima dell’URL mostrata dallo smartphone prima di aprire la pagina.

Un QR code con HTTPS è sicuro?

Non necessariamente. Anche siti di phishing possono utilizzare HTTPS.

Ho scansionato un QR code falso ma non ho inserito nulla: cosa faccio?

Chiudi la pagina e controlla che non siano stati scaricati file o concessi permessi. Il rischio è molto più basso rispetto all’inserimento di dati.

Ho inserito la password dopo aver scansionato un QR code: cosa faccio?

Cambiala immediatamente dal sito ufficiale e attiva l’autenticazione a due fattori.

Possono sostituire un QR code vero con uno falso?

Sì. Un metodo semplice consiste nell’applicare un adesivo con un nuovo QR code sopra quello originale.