Un QR code attaccato su un parchimetro, stampato su un volantino o ricevuto tramite WhatsApp può sembrare innocuo. Eppure, dietro quei quadratini bianchi e neri potrebbe nascondersi un collegamento a un sito costruito per rubare password, dati bancari o altre informazioni personali.
Per capire se un QR code è sicuro, bisogna controllare l’indirizzo web che contiene prima di aprirlo, verificare che il dominio appartenga realmente al servizio indicato e diffidare delle richieste inattese di pagamento o accesso. Anche un codice stampato in un luogo pubblico può essere stato sostituito. La scansione, da sola, non garantisce l’affidabilità del collegamento.
Come riconoscere un QR code pericoloso
Il QR code non è pericoloso per il suo aspetto. È semplicemente un sistema per rappresentare informazioni che uno smartphone può leggere attraverso la fotocamera o un’applicazione compatibile.
- QR Code Pericoloso: Come Evitare le Truffe e Proteggere lo Smartphone
- QR code falsi: come riconoscerli prima di scansionarli
- QR code falsi: come riconoscerli, cosa succede se li scansioni e come difenderti
Il problema nasce quando il codice contiene un indirizzo controllato da un truffatore. Una volta aperto, quel collegamento può mostrare una pagina praticamente identica a quella di una banca, di un servizio di pagamento o di un’azienda conosciuta.
Questa tecnica viene chiamata quishing, termine che unisce QR code e phishing. L’obiettivo è convincere la vittima a visitare una pagina fraudolenta senza insospettirla.
La Polizia di Stato ha segnalato questa modalità di truffa, ricordando che i codici possono essere utilizzati per indirizzare le persone verso falsi siti progettati per acquisire credenziali e informazioni bancarie. Polizia di Stato
I segnali che dovrebbero insospettire
Non esiste un metodo per distinguere visivamente un codice sicuro da uno fraudolento. Ci sono però alcune situazioni in cui conviene fermarsi prima della scansione.
Un adesivo applicato sopra un QR code originale, per esempio, merita attenzione. Qualcuno potrebbe averlo sostituito per deviare i visitatori verso un indirizzo diverso.
Un altro segnale è la presenza di messaggi che impongono un’azione immediata: pagare una multa, sbloccare un account, confermare una consegna o evitare una presunta sospensione del servizio.
La fretta è spesso parte della truffa. Se il messaggio spinge a completare un’operazione entro pochi minuti, soprattutto inserendo dati personali, è preferibile cercare una conferma attraverso i canali ufficiali.
Non bisogna però fare l’errore opposto: un codice stampato bene, inserito in una comunicazione professionale o accompagnato da un logo autentico non è automaticamente affidabile.
Come verificare un QR code senza aprire il link
Il controllo più utile consiste nel leggere il contenuto del codice senza visitare immediatamente il sito associato.
Sui moderni smartphone, l’app Fotocamera può riconoscere un QR code e mostrare un collegamento selezionabile. Il comportamento preciso cambia in base al dispositivo, al sistema operativo e all’app utilizzata.
Per effettuare una prima verifica:
- Apri la fotocamera dello smartphone e inquadra il QR code.
- Attendi che venga riconosciuto, senza toccare il collegamento proposto.
- Controlla l’indirizzo visualizzato nell’anteprima. Se è abbreviato o incompleto, non considerarlo verificato.
- Verifica il dominio, prestando attenzione a lettere sostituite, parole aggiunte e indirizzi che imitano quelli ufficiali.
- Se il collegamento rimane dubbio, evita di aprirlo e raggiungi il servizio digitando manualmente l’indirizzo conosciuto oppure utilizzando la sua applicazione ufficiale.
Un dettaglio facilmente trascurabile riguarda le anteprime abbreviate. A seconda dell’interfaccia, lo smartphone potrebbe mostrare soltanto una parte dell’URL, rendendo difficile individuare il vero dominio.
In queste condizioni non conviene aprire la pagina soltanto per scoprire dove porta. Meglio utilizzare uno strumento affidabile che permetta di leggere e copiare il contenuto del codice senza visitare la destinazione.
Attenzione ai domini che imitano quelli autentici
Immaginiamo di scansionare un codice apparentemente collegato a un servizio chiamato esempio.it.
Gli indirizzi seguenti, pur avendo alcune parti in comune, non identificano necessariamente lo stesso sito:
| Indirizzo illustrativo | Cosa controllare |
|---|---|
https://www.esempio.it | Dominio esempio.it |
https://esempio.it.accesso-falso.com | Il dominio effettivo è accesso-falso.com |
https://esemp1o.it | Il numero 1 sostituisce la lettera i |
https://esempio.it.verifica-account.net | Il dominio è verifica-account.net |
Gli indirizzi sono esempi illustrativi, non siti da visitare.
La differenza può sembrare minima, specialmente sullo schermo di uno smartphone. È proprio su questa somiglianza che si basano molte pagine di phishing.
Anche la presenza di https:// e del lucchetto nel browser non è una prova sufficiente. La connessione può essere cifrata anche quando il sito appartiene a un truffatore.
Un altro caso delicato riguarda i link abbreviati. Se il codice rimanda a un servizio di accorciamento degli URL, il dominio finale non è immediatamente visibile. In una situazione sospetta, è preferibile non seguire il reindirizzamento.
I 6 controlli da fare prima di fidarsi di un QR code
1. Controlla dove si trova
Un codice su un adesivo sovrapposto a un cartello originale o su un supporto manomesso richiede maggiore cautela. La presenza in un luogo pubblico non garantisce che sia autentico.
2. Leggi l’URL prima di toccarlo
Se lo scanner mostra il collegamento, controlla il dominio. Evita di aprire indirizzi sconosciuti, strani o incompatibili con il servizio pubblicizzato.
3. Valuta cosa ti viene richiesto
Un menu digitale dovrebbe mostrare un menu, non pretendere la password della posta elettronica. Richieste di credenziali o dati bancari inattese sono un forte segnale di rischio.
4. Cerca conferma dal servizio ufficiale
Se il codice riguarda una banca, un corriere o un servizio pubblico, verifica l’operazione direttamente dall’app ufficiale o dal sito che conosci già.
5. Non scaricare applicazioni su richiesta di un codice inatteso
Un QR code può rimandare a un file o a una pagina che propone l’installazione di software. Non concedere autorizzazioni o installare applicazioni sconosciute soltanto perché lo suggerisce quella pagina.
6. Considera il contesto del messaggio
Una richiesta arrivata senza preavviso via email, SMS o WhatsApp, soprattutto se contiene minacce di blocco o scadenze urgenti, va trattata come sospetta anche quando il QR code sembra normale.
QR code su Android e iPhone: come controllare il collegamento
Sia Android sia iPhone permettono di leggere QR code senza necessariamente installare applicazioni dedicate. La possibilità di visualizzare l’indirizzo prima dell’apertura dipende però dal modello e dal software utilizzato.
Su Android
Aprendo l’app Fotocamera e inquadrando il codice, molti dispositivi mostrano una notifica o un’anteprima del contenuto. In altri casi è disponibile Google Lens.
Se viene mostrato un collegamento, non selezionarlo immediatamente. Controlla se il dominio coincide con quello del servizio che intendi utilizzare.
Per una protezione aggiuntiva, su Google Chrome è disponibile la funzione Navigazione sicura, progettata per segnalare siti di phishing e altre pagine potenzialmente dannose.
Nelle versioni supportate di Chrome per Android, l’impostazione si trova generalmente in Impostazioni → Privacy e sicurezza → Navigazione sicura. Guida di Google Chrome
Non si tratta comunque di una garanzia assoluta: un sito fraudolento appena creato potrebbe non essere ancora riconosciuto come pericoloso.
Su iPhone
Anche la fotocamera di iPhone riconosce i QR code e può proporre l’apertura del collegamento rilevato.
Prima di selezionarlo, controlla le informazioni mostrate nell’anteprima. Se l’indirizzo non è sufficientemente leggibile, non considerare completata la verifica.
Se un codice apparentemente collegato a un servizio conosciuto rimanda a un dominio differente, evita di proseguire. Per pagamenti e accessi ad account, il metodo più prudente resta aprire autonomamente il sito o l’applicazione ufficiale.
Le truffe con QR code più difficili da riconoscere
ESEMPI DI SITUAZIONI A RISCHIO
Parcheggi e parchimetri
Un adesivo contraffatto può coprire il QR code utilizzato per il pagamento della sosta. Il conducente raggiunge una pagina che imita il servizio previsto e inserisce i dati della carta, convinto di aver pagato il parcheggio.
La Federal Trade Commission statunitense ha documentato segnalazioni di questo tipo, ribadendo il rischio anche nel settembre 2026. Consumer Advice
Ristoranti e menu digitali
Un QR code appoggiato sul tavolo può essere sostituito o alterato. Se la pagina richiede informazioni non pertinenti alla consultazione del menu, conviene chiedere conferma al personale.
Se invece il ristorante utilizza un sistema di ordinazione e pagamento digitale, la richiesta di pagamento può essere legittima. Va comunque verificata.
Pacchi e consegne
Il messaggio comunica che una spedizione è bloccata e invita a scansionare un QR code per aggiornare l’indirizzo o versare una piccola somma.
La pagina può imitare quella di un corriere e raccogliere informazioni personali o di pagamento. La verifica deve avvenire tramite il sito o l’app ufficiale del corriere, utilizzando il numero di tracciamento già disponibile.
Un caso meno evidente riguarda i QR code inviati all’interno di documenti PDF o immagini allegate alle email. La presenza del codice come immagine può rendere meno immediata l’identificazione del collegamento da parte di alcuni sistemi di controllo automatico.
Il destinatario viene quindi spinto a utilizzare lo smartphone per completare una procedura iniziata sul computer. Questo passaggio tra dispositivi può far sembrare l’operazione più naturale, soprattutto quando il messaggio imita una comunicazione aziendale.
Ho scansionato un QR code sospetto: cosa rischio?
Non tutte le scansioni comportano una compromissione del telefono.
Bisogna distinguere tra aver semplicemente letto il codice, aver aperto la pagina e aver compiuto un’azione sul sito.
Se hai soltanto inquadrato il QR code e visualizzato l’anteprima, senza aprire il collegamento né autorizzare altre operazioni, il semplice riconoscimento del codice non equivale normalmente a un’infezione.
Se invece hai visitato la pagina, il rischio dipende da ciò che è accaduto successivamente. Un sito fraudolento potrebbe averti invitato a inserire credenziali, autorizzare notifiche, scaricare software oppure effettuare un pagamento.
Aprire una pagina non significa automaticamente aver installato un malware, ma non permette neppure di escludere qualsiasi rischio, specialmente su dispositivi non aggiornati.
Cosa fare se hai già aperto il link
La risposta cambia in base alle informazioni eventualmente condivise.
- Hai aperto soltanto la pagina: chiudila, non interagire con eventuali avvisi e verifica che browser e sistema operativo siano aggiornati.
- Hai inserito una password: cambiala immediatamente dal sito ufficiale, modifica anche le altre credenziali dove hai riutilizzato la stessa password e attiva l’autenticazione a più fattori.
- Hai comunicato i dati della carta: contatta subito la banca tramite i canali ufficiali, chiedi se sia necessario bloccare la carta e controlla i movimenti.
- Hai installato un’applicazione sconosciuta: evita di utilizzarla, revoca le autorizzazioni concesse se possibile ed effettua controlli di sicurezza sul dispositivo. In presenza di segnali di compromissione, richiedi assistenza tecnica qualificata.
- Hai autorizzato un accesso o un’operazione bancaria: contatta tempestivamente il servizio coinvolto. Cambiare la password potrebbe non essere sufficiente a revocare autorizzazioni già concesse.
Le indicazioni della FTC includono proprio la modifica delle credenziali compromesse e il controllo delle transazioni quando si sospetta di essere caduti in una truffa tramite QR code. Consumer Advice
Conservare screenshot, messaggi e dettagli delle operazioni può essere utile se diventa necessario effettuare una segnalazione alla Polizia Postale o contestare un pagamento.
Domande frequenti sui QR code sospetti
Un QR code può contenere un virus?
Un QR code non è di per sé un virus. Può però contenere un collegamento a pagine che distribuiscono malware o inducono a installare applicazioni dannose. In casi particolari, vulnerabilità del dispositivo potrebbero essere sfruttate attraverso contenuti malevoli. Per questo è consigliabile mantenere aggiornati sistema operativo e browser.
È possibile controllare un QR code senza scansionarlo?
Non è possibile conoscere con certezza il contenuto di un QR code osservandone soltanto il disegno. Serve un lettore che decodifichi le informazioni. È però possibile usare uno scanner che mostri il testo o l’indirizzo contenuto nel codice senza aprire automaticamente il collegamento.
Google Lens riconosce i QR code pericolosi?
Google Lens può leggere i QR code e identificare i collegamenti contenuti, ma questa funzione non certifica la sicurezza della destinazione. Eventuali protezioni del browser possono segnalare siti conosciuti come dannosi, senza garantire che tutti i collegamenti fraudolenti vengano individuati.
Un QR code ricevuto su WhatsApp è sicuro?
Dipende dalla provenienza e dal contenuto. Anche un contatto conosciuto potrebbe inoltrare inconsapevolmente un codice fraudolento, oppure avere un account compromesso. Se il messaggio richiede password, pagamenti o verifiche urgenti, conviene confermarne l’autenticità attraverso un canale diverso.
Un sito aperto tramite QR code è affidabile se mostra il lucchetto HTTPS?
No. HTTPS indica che la comunicazione con il sito è protetta tramite cifratura, ma non garantisce che il proprietario sia affidabile. Anche un sito di phishing può utilizzare HTTPS. Occorre verificare il dominio effettivo e l’identità del servizio prima di inserire informazioni riservate.
Il controllo più utile è quello che fai prima della scansione
Se un QR code serve per pagare, accedere a un account o comunicare dati personali, non dovrebbe essere l’unico modo per raggiungere quel servizio. Quando qualcosa non convince, cercare autonomamente il canale ufficiale permette di evitare il collegamento potenzialmente manipolato.
Un minuto impiegato a verificare la destinazione può evitare una procedura di recupero dell’account decisamente più complicata.
Fonti e approfondimenti
- Polizia di Stato – I consigli per evitare il quishing – Indicazioni istituzionali sui rischi dei QR code fraudolenti.
- Federal Trade Commission – QR code e truffe sui parcheggi, settembre 2026 – Consigli per verificare i collegamenti e intervenire dopo una possibile truffa.
- Federal Trade Commission – Scammers hide harmful links in QR codes – Approfondimento sulle tecniche di phishing tramite QR code.
- Google Chrome – Come funziona Navigazione sicura – Documentazione ufficiale sulle protezioni contro siti di phishing e malware.
