Truffa QR code: come riconoscerla e cosa fare dopo la scansione

Una truffa tramite QR code, chiamata anche quishing, nasconde un collegamento fraudolento dentro il quadrato da scansionare. Può comparire su un parchimetro, in un’email, su un pacco inatteso o in un messaggio che chiede di pagare una multa. Il telefono mostra spesso l’indirizzo prima di aprirlo: fermarsi in quel momento può evitare furto di password, dati della carta o collegamento abusivo di WhatsApp. Vediamo come controllare un QR e cosa fare se lo hai già scansionato.

Come funziona il quishing

Un codice QR contiene informazioni leggibili dalla fotocamera, spesso un indirizzo web. Il codice in sé non dimostra che la destinazione sia affidabile. Un criminale può stampare un adesivo sopra il QR originale, inviare l’immagine in un messaggio urgente oppure usarla per aprire una pagina che imita banca, Poste, corriere o social network.

La Federal Trade Commission avverte che i QR fraudolenti possono portare a siti imitazione o al download di software dannoso. Consulta anche l’avviso ufficiale Scammers hide harmful links in QR codes.

Dove si trovano più spesso i QR falsi

• Adesivi applicati su parchimetri, colonnine e menu.
• Email o SMS per una consegna non riuscita.
• Avvisi falsi di multe, tasse o bollette scadute.
• Pacchi inattesi con un biglietto che invita a scansionare.
• Volantini per premi, sconti o investimenti.
• Messaggi che promettono di verificare o collegare WhatsApp.
• Finti avvisi aziendali per reimpostare una password.

Urgenza, minaccia e promessa di un vantaggio sono segnali comuni. Un logo famoso stampato vicino al codice non è una prova.

Come controllare un QR prima di aprirlo

1. Guarda il supporto fisico: verifica se c’è un adesivo sopra un altro codice.
2. Apri la fotocamera normale del telefono, senza app sconosciute.
3. Inquadra il QR ma non toccare subito la notifica.
4. Leggi l’indirizzo mostrato nell’anteprima.
5. Controlla dominio, errori di ortografia e parti aggiunte prima della barra.
6. Se dovrebbe appartenere a una banca o ente, chiudi e apri l’app ufficiale manualmente.
7. Non procedere se la pagina chiede dati inattesi, app, notifiche o pagamenti urgenti.

Il lucchetto HTTPS indica che la connessione è cifrata, non che il sito sia onesto. Anche un sito di phishing può avere HTTPS.

Attenzione ai QR che collegano WhatsApp

Un truffatore può convincerti a scansionare un QR che collega il suo computer al tuo account WhatsApp. Non è un semplice voto o controllo: stai autorizzando un nuovo dispositivo a leggere le conversazioni sincronizzate.

1. Apri WhatsApp.
2. Vai in Impostazioni o nel menu con tre puntini.
3. Seleziona Dispositivi collegati.
4. Controlla browser, sistemi e orari elencati.
5. Tocca ogni dispositivo sconosciuto e scegli Disconnetti.

Approfondisci con la guida su come verificare i dispositivi collegati a WhatsApp. Per l’uso legittimo consulta invece come funzionano i codici QR di WhatsApp.

Hai scansionato il QR ma non hai aperto il link

Se hai soltanto inquadrato il codice e non hai aperto la destinazione, normalmente non hai trasmesso credenziali. Chiudi l’anteprima e cancella l’eventuale scheda. Segnala il codice al gestore del luogo o al mittente reale usando un contatto verificato.

Hai aperto il sito ma non hai inserito dati

1. Chiudi la pagina senza accettare notifiche o download.
2. Controlla la cartella Download e rimuovi file inattesi senza aprirli.
3. Verifica che il browser non abbia ottenuto permessi per notifiche, fotocamera o posizione.
4. Aggiorna telefono e browser.
5. Esegui una scansione di sicurezza su Android se è stato scaricato qualcosa.

Hai inserito password, carta o codice OTP

1. Da un dispositivo sicuro cambia subito la password del servizio imitato.
2. Se la password era riutilizzata, cambiala anche negli altri account.
3. Attiva la verifica in due passaggi.
4. Disconnetti sessioni e dispositivi che non riconosci.
5. Se hai inserito dati della carta, chiama immediatamente l’emittente e chiedi il blocco.
6. Se hai autorizzato un pagamento, segnala la frode e chiedi se è possibile fermarlo.
7. Conserva messaggio, URL, screenshot, importi e orari per la denuncia.

Per imparare a valutare messaggi e domini consulta come riconoscere un’email di phishing. Gli stessi principi valgono per QR ricevuti via email o SMS.

Hai installato un’app o un profilo

• Attiva modalità aereo se sospetti controllo remoto.
• Disinstalla l’app sconosciuta senza concedere altre autorizzazioni.
• Su Android controlla Accessibilità, amministratori dispositivo e installazione da origini sconosciute.
• Su iPhone controlla Impostazioni > Generali > VPN e gestione dispositivo.
• Esegui aggiornamenti e scansione di sicurezza.
• Cambia le password da un altro dispositivo pulito.

Se l’app aveva accesso a SMS, notifiche o controllo dello schermo, contatta banca e servizi principali anche se non vedi ancora addebiti.

Come segnalare il QR falso

Avvisa il proprietario del luogo se il codice è su un oggetto pubblico, segnala il messaggio come phishing nel servizio usato e contatta l’organizzazione impersonata tramite il suo sito ufficiale. Se hai perso denaro o dati, conserva le prove e rivolgiti rapidamente alla Polizia Postale o alle autorità competenti. Non staccare personalmente adesivi in luoghi pericolosi: fai una foto e informa il gestore.

Impostazioni utili sul telefono

• Attiva aggiornamenti automatici del sistema e del browser.
• Disabilita l’installazione da origini sconosciute quando non serve.
• Controlla periodicamente le autorizzazioni di fotocamera, SMS e accessibilità.
• Usa un gestore password: su un dominio falso non dovrebbe proporre automaticamente la credenziale corretta.
• Attiva 2FA sugli account principali e notifiche per i pagamenti.
• Imposta il browser perché chieda conferma prima dei download.

Nessuna impostazione riconosce ogni QR fraudolento. Serve comunque leggere l’indirizzo e valutare il contesto. Un codice su un oggetto pubblico può essere sostituito pochi minuti dopo un controllo del gestore.

Esempio pratico: falso avviso di consegna

Ricevi un foglio o un SMS che dice che il pacco è bloccato e devi scansionare un QR per pagare una piccola somma. Invece di aprirlo, entra direttamente nell’app del negozio o del corriere e cerca la spedizione. Se non esiste alcun problema, segnala il messaggio. Se hai già inserito la carta, blocca lo strumento di pagamento anche quando l’importo richiesto era minimo: la pagina potrebbe aver raccolto tutti i dati per addebiti successivi.

Domande frequenti

Scansionare un QR installa sempre un virus?

No. Il rischio dipende dall’azione successiva: apertura del sito, download, installazione, inserimento di dati o autorizzazione. Chiudi la pagina e controlla il dispositivo se qualcosa è stato scaricato.

Posso capire dal disegno se è falso?

No. Due codici graficamente simili possono portare a destinazioni completamente diverse. Devi leggere l’URL mostrato dal telefono e verificare il contesto.

Approfondimento: Anche gli URL abbreviati possono nascondere la destinazione: scopri come funzionano i link brevi e come controllarli.

Conclusione

Un QR code è soltanto un modo rapido per aprire informazioni e va controllato come qualsiasi link. Ispeziona il supporto, leggi il dominio prima di toccarlo e apri manualmente app e siti ufficiali quando vengono chiesti pagamenti o credenziali. Se hai già inserito dati, cambia subito password, blocca la carta e conserva le prove. La pausa di pochi secondi prima della scansione è la difesa più efficace contro il quishing.