QR code falsi, la truffa del quishing: cinque controlli per riconoscerla

Dai parcheggi ai ristoranti, oramai i codici QR sono ovunque. Sono molto utili per sfogliare un menù di un bar, connettersi ad una rete wi-fi, accedere a molti servizi digitali, e così via.

Basta inquadrarlo dallo smartphone per essere indirizzati, in pochi istanti, verso una pagina web.

Ma dietro questa comodità può nascondersi una nuova insidia: i QR code possono essere falsi, o meglio dire, contraffatti. Sono utilizzati dai truffatori per sottrarre dati personali, credenziali bancarie e informazioni sulle carte di pagamento.

Il fenomeno è conosciuto con il nome di quishing, un termine che deriva dall'unione delle parole QR code e phishing, ovvero l’utilizzo di un falso indirizzo web (spacciato per vero), che in realtà è utilizzato per rubare dati.

Come funziona la truffa del QR code falso

Il meccanismo è relativamente semplice. I malintenzionati creano un codice QR che rimanda a un sito fraudolento, spesso molto simile a quello di un servizio autentico.

Per esempio, in alcuni casi stampano il codice su un adesivo e lo applicano sopra quello originale, presente su un parchimetro, un cartello informativo o un altro supporto pubblico.

G Vedi prima le notizie che ti interessano Scegli TorreSette come fonte preferita su Google. Bastano due tap: si apre Google, tocchi TorreSette e confermi.

L'utente, convinto di utilizzare un servizio regolare, inquadra il codice con la fotocamera del telefono e viene indirizzato verso una pagina che richiede l'inserimento di dati personali o bancari.

Il pericolo non è necessariamente la semplice scansione del codice, ma ciò che accade successivamente: l'inserimento di informazioni riservate, l'autorizzazione di pagamenti o il download di applicazioni dannose.

I luoghi dove prestare maggiore attenzione

I parcheggi rappresentano uno degli scenari più insidiosi. L'automobilista, magari di fretta, inquadra il QR code presente sul parchimetro per pagare la sosta. Se il codice è stato sostituito, può ritrovarsi su una pagina contraffatta e inserire inconsapevolmente i dati della carta.

Ma il rischio può presentarsi anche altrove: nei ristoranti che utilizzano menù digitali, sulle colonnine di ricarica delle auto elettriche, sui volantini pubblicitari e persino nelle comunicazioni che sembrano provenire da enti pubblici, come Poste Italiane.

Anche la Banca d'Italia ha richiamato l'attenzione su questa tecnica di frode, raccomandando particolare prudenza con i codici presenti nei luoghi pubblici.

Come riconoscere un QR code sospetto: cinque controlli fondamentali

Non esiste un sistema per distinguere un codice autentico da uno falso semplicemente osservando i quadratini bianchi e neri. Esistono però alcuni segnali che devono far scattare l'allarme.

1. Controllare se il codice è stato incollato sopra un altro. Un adesivo sovrapposto al codice originale può indicare una manomissione. Basta controllarlo con la mano o guardando attentamente.
2. Leggere l'indirizzo Internet prima di aprirlo. Se il collegamento presenta nomi strani, errori di scrittura o domini diversi da quelli ufficiali, meglio fermarsi.
3. Diffidare delle richieste di dati bancari. Un sito raggiunto tramite QR code che chiede password, PIN o codici di sicurezza deve essere verificato con particolare attenzione.
4. Non scaricare applicazioni sconosciute. Se il codice richiede l'installazione di una app, è preferibile cercarla direttamente negli store ufficiali. Le app sono dei veri e propri cavalli di Troia.
5. Evitare di agire sotto pressione. Messaggi che minacciano multe, blocchi del conto o conseguenze immediate possono essere tentativi di truffa.

Sono precauzioni raccomandate anche dalla Polizia di Stato, che invita a verificare sempre l'indirizzo del sito raggiunto attraverso un QR code.

Cosa fare se abbiamo già inquadrato un codice falso?

Aver semplicemente inquadrato un QR code sospetto non significa necessariamente essere stati truffati.

Se non sono stati inseriti dati personali, autorizzati pagamenti o installate applicazioni, generalmente il rischio è limitato.

La situazione cambia quando vengono comunicate informazioni riservate.

In questo caso è importante agire rapidamente:

• Se sono stati inseriti dati della carta, contattare immediatamente la banca e chiedere una verifica delle operazioni, valutando il blocco della carta.
• Se sono state comunicate password, bisogna modificarle attraverso il sito o l'app ufficiale e controllare gli accessi all'account.
• Se è stata installata un'applicazione sospetta, interromperne l'utilizzo e far verificare la sicurezza del dispositivo.
• Se è stato effettuato un pagamento fraudolento, conservare le prove, contattare il proprio istituto di credito e segnalare l'accaduto alla Polizia Postale.

Il consiglio utile: meglio qualche secondo in più che un conto alleggerito

Non bisogna quindi rinunciare in toto dai QR code, ma è importante imparare ad utilizzarli con maggiore consapevolezza.

La regola più importante è non fidarsi automaticamente di un codice soltanto perché si trova su un cartello apparentemente ufficiale.

Quando possibile, per pagare un parcheggio o accedere a un servizio è preferibile utilizzare direttamente l'applicazione ufficiale del gestore oppure digitare l'indirizzo del sito conosciuto.

Un controllo di pochi secondi può evitare conseguenze economiche anche pesanti. Ci basta un po’ di consapevolezza.