Truffa del QR code: come riconoscere un codice falso

Una truffa del QR code funziona mandandoti su una pagina falsa che chiede un pagamento, una password o l'installazione di un'app. Prima di fidarti di un codice, controlla l'indirizzo che il telefono mostra prima di aprirlo e non inserire mai dati della carta o password su una pagina raggiunta scansionando un codice che non ti aspettavi.

Ormai i QR code sono ovunque: parchimetri, tavoli dei ristoranti, avvisi di giacenza, manifesti e porte di casa. Proprio per questo piacciono ai truffatori. Questa guida spiega come funzionano di solito i raggiri, ti dà un controllo rapido da fare in pochi secondi, ti dice cosa fare se hai già scansionato un codice sbagliato e mostra come proteggere un codice che appendi tu.

Come funziona la truffa del QR code

Un QR code è solo un link stampato come una serie di quadratini. Non puoi leggerlo a occhio nudo, quindi non sai dove porta finché il telefono non lo decodifica. I truffatori sfruttano questo punto cieco. Il fenomeno viene spesso chiamato «quishing», un incrocio tra QR e phishing.

Il codice in sé è innocuo. Il pericolo è la pagina che apre. Di solito quella pagina cerca di ottenere da te una di queste tre cose:

• Soldi: una falsa pagina di pagamento per la sosta, un pedaggio, una spesa di spedizione o una multa.
• Le tue credenziali: una copia della pagina di accesso della tua banca, della tua email o di un corriere, che salva tutto quello che scrivi.
• Un'installazione: un invito a scaricare un'app o un file al di fuori dello store ufficiale.

Un codice stampato non costa quasi nulla, e un adesivo si incolla sopra uno vero in pochi secondi. Ecco perché i raggiri più comuni avvengono nei luoghi pubblici, dove nessuno controlla chi ha attaccato un adesivo.

Le truffe con QR code più comuni

I dettagli cambiano, ma la maggior parte dei casi segue alcuni schemi noti:

• Adesivo sopra un codice vero. Un codice falso viene incollato sopra l'originale su un parchimetro, una colonnina di ricarica, una stazione di bike sharing o un tavolo del ristorante.
• Falsi avvisi di sosta o di multa. Un foglietto sul parabrezza dice che devi pagare subito una somma scansionando un codice.
• Avvisi di pacchi e consegne. Un cartoncino nella cassetta della posta o una lettera dice che c'è un pacco in attesa e chiede una piccola somma o i tuoi dati.
• Email e SMS con un codice. Il messaggio mostra un QR code al posto di un link, così lo scansioni con il telefono, lontano dalle protezioni del computer.
• Codici che promettono qualcosa. Manifesti o volantini con premi, sconti o Wi-Fi gratis che ti chiedono prima di accedere.

In comune hanno la fretta. Una vera società di parcheggi o un vero corriere raramente ti chiede di pagare in pochi minuti tramite un codice attaccato a un palo con lo scotch.

Come controllare un QR code prima di fidarti

Non serve nessun programma speciale. La maggior parte delle fotocamere dei telefoni mostra l'indirizzo in un piccolo banner prima di aprirlo, e quell'anteprima è il tuo strumento migliore. Se non sai bene come fa il tuo telefono, la nostra guida su come scansionare un QR code su Android e iPhone ti spiega tutto.

1. Guarda il codice. Passaci sopra un dito. Un adesivo con i bordi in rilievo, un secondo strato o un codice che sembra più nuovo del cartello intorno è un campanello d'allarme.
2. Leggi l'indirizzo prima di toccare. Controlla il dominio: la parte subito prima della prima barra singola. Deve essere l'azienda che ti aspetti, scritta correttamente, non un'imitazione con parole in più o lettere scambiate.
3. Diffida dei link accorciati. Un indirizzo abbreviato nasconde la vera destinazione. Se il codice serve per pagare qualcosa, è un motivo per fermarti.
4. Chiediti cosa vuole la pagina. Un menu o un orario dovrebbero semplicemente aprirsi. Una pagina che chiede un numero di carta, una password o un'installazione merita una seconda occhiata.
5. Usa la via ufficiale. Se un codice ti chiede di pagare, apri l'app dell'azienda o digita tu il suo sito. Perdi un minuto ed elimini il rischio.
6. Fidati del contesto. Un codice inatteso, in un messaggio che non hai chiesto, con una scadenza: è la forma classica di una truffa.

Cosa fare se hai scansionato un QR code falso

Scansionare un codice di per sé raramente fa danni. Conta quello che hai fatto dopo sulla pagina. Agisci in base a cosa è successo:

• Hai solo aperto la pagina. Chiudila. Di solito basta chiudere quella scheda.
• Hai inserito una password. Cambiala subito sul sito vero e su ogni altro account in cui usi la stessa. Attiva la verifica in due passaggi, se disponibile.
• Hai inserito i dati della carta o hai pagato. Chiama la tua banca al numero sul retro della carta e chiedi di bloccarla e di verificare l'addebito.
• Hai installato qualcosa. Disinstallalo e controlla nelle impostazioni del telefono se ci sono app che non riconosci.
• Il codice era su un cartello pubblico. Avvisa il gestore del parchimetro, del negozio o della colonnina perché lo rimuova, e fai denuncia alla Polizia Postale o ai Carabinieri se hai perso dei soldi.

Come proteggere il QR code sulla porta di casa

Sempre più persone attaccano un QR code alla propria porta, al cancello o al bancone: per un menu, i pagamenti, il Wi-Fi o un campanello. Lo stesso trucco dell'adesivo può prendere di mira anche te, quindi qualche abitudine aiuta:

1. Mettilo dove lo vedi. All'altezza degli occhi, nello stipite della porta o dietro un vetro, dove uno sconosciuto non può coprirlo senza farsi notare.
2. Dagli un'occhiata ogni tanto. Quando torni a casa, guarda il codice. Se sembra diverso, ha un secondo strato o è stato spostato, scansionalo tu.
3. Proteggilo dalle intemperie. Un codice sbiadito o che si stacca invita a sostituirlo. Coprilo con nastro trasparente o una bustina. Se fa già fatica a essere letto, guarda le nostre 10 soluzioni per un QR code stampato che non funziona.
4. Non usarlo mai per pagamenti che non controlli. Il codice sulla porta deve avviare una conversazione, non chiedere soldi ai tuoi visitatori.

Un campanello QR come Qoorbell segue quest'ultima regola fin dalla progettazione. Il visitatore scansiona il codice con la fotocamera del telefono, si apre una pagina web senza app e senza account, e può farti una videochiamata o scriverti in chat. Niente su quella pagina chiede al visitatore soldi o password. Vede solo il nome del tuo campanello, mai il tuo numero di telefono, la tua email o altri dati personali, quindi il codice non espone nemmeno te.

Quel nome del campanello è anche un controllo rapido per i visitatori: se scansionano la tua porta e il nome che vedono non è il tuo, qualcosa non va. E se un codice si rovina o viene strappato, puoi stamparne gratis una nuova copia dal tuo account, perché non c'è nessun dispositivo da sostituire.

Cosa tenere a mente

Nessuna lista di controllo ti rende immune. Una pagina falsa fatta bene può sembrare identica a quella vera, quindi l'abitudine più sicura è semplice: non pagare e non accedere da una pagina raggiunta tramite un codice che non ti aspettavi.

Un campanello QR non impedisce a nessuno di attaccare un codice falso sulla tua porta; ti aiuta solo ad accorgertene. Qoorbell non è un sistema di sicurezza né una telecamera che sorveglia la tua porta. Se vuoi rendere più sicuro tutto l'ingresso, i nostri consigli per la sicurezza della casa spendendo poco parlano di serrature, illuminazione e abitudini che contano più di qualsiasi codice.

Infine, questi sono consigli generali di sicurezza, non una consulenza legale o finanziaria. Se hai perso dei soldi, la tua banca e le forze dell'ordine sono le persone giuste da chiamare.

Domande frequenti

Scansionare un QR code può hackerare il telefono?

La sola scansione non fa quasi mai nulla. Il rischio viene da quello che fai dopo: inserire una password, pagare o installare un'app dalla pagina che si apre.

Come capire se un QR code è falso?

Cerca un adesivo sopra un altro codice, leggi l'indirizzo che il telefono mostra prima di aprirlo e diffida di qualsiasi pagina che ti mette fretta per pagare o accedere.

I QR code sui parchimetri sono sicuri?

Molti sono autentici, ma i parchimetri sono un bersaglio frequente degli adesivi. Nel dubbio, paga con l'app o il sito ufficiale del gestore della sosta invece che con il codice.

Qualcuno può mettere un codice falso sopra il mio campanello QR?

Potrebbe, ed è per questo che conviene mettere il codice dove lo vedi ogni giorno e controllarlo ogni tanto. Chi scansiona il tuo codice Qoorbell vede il nome del tuo campanello, quindi un nome diverso è un segnale facile che qualcosa non va.

Scansiona sempre in sicurezza

I QR code sono utili e la maggior parte è esattamente ciò che sembra. Pochi secondi per controllare l'adesivo, l'indirizzo e cosa chiede la pagina bastano per evitare la maggior parte delle truffe. Se vuoi un codice sulla porta che metta i visitatori in contatto solo con te, senza mostrare il tuo numero, crea il tuo campanello Qoorbell gratis.