Risposta breve
Un QR code è solo un link che non puoi leggere. I truffatori incollano codici falsi sopra quelli veri — la FTC cita i parchimetri — oppure li inviano via e-mail, SMS o lettera con un pretesto: una consegna non riuscita, un problema all’account, un cambio password obbligatorio. Il codice apre una pagina di accesso o di pagamento contraffatta, o un download. Prima di aprirlo controlla l’indirizzo web mostrato dalla fotocamera; non scansionare codici in messaggi che non aspettavi; e paga dall’app o dal sito ufficiali. Se hai inserito una password, cambiala da un dispositivo pulito ed esci dalle altre sessioni; se hai inserito i dati della carta, chiama la banca.
Dove compaiono i QR code falsi
- Adesivi sopra il codice vero su parchimetri, colonnine di ricarica, tavoli di ristoranti o manifesti.
- E-mail secondo cui l’account verrà bloccato se non ti «riverifichi» scansionando: per i filtri della posta un codice è più difficile da controllare di un link, e ti sposta sul telefono.
- SMS e lettere su un pacco, una multa o un rimborso.
- Falsi messaggi di «assistenza» sui social che chiedono di scansionare un codice per verificare o sbloccare l’account.
Controlla il codice prima di aprirlo
- Leggi l’anteprima dell’indirizzo prima di toccare. Cerca errori o lettere scambiate che imitano un sito noto: è il primo consiglio della FTC.
- Su parchimetri o manifesti cerca un adesivo sopra il codice originale o altri segni di manomissione.
- Non scansionare un codice in un’e-mail o un SMS inattesi, soprattutto se mettono fretta. Contatta l’azienda tramite un sito o un numero che sai essere autentico.
- Per pagare o accedere usa l’app ufficiale o digita tu l’indirizzo.
- Non inserire mai password o codici di verifica in una pagina raggiunta tramite un codice inatteso.
Se l’hai già scansionato
| Cosa è successo | Fai subito questo |
|---|---|
| Hai solo aperto la pagina | Chiudila senza inserire nulla e tieni aggiornato il telefono |
| Hai inserito una password | Cambiala da un dispositivo pulito (prima l’e-mail), esci dalle altre sessioni e attiva la 2FA |
| Hai inserito dati della carta o bancari | Chiama la banca al numero sulla carta, bloccala e contesta il pagamento |
| Hai installato un’app o un file | Disinstallalo, aggiorna e scansiona il telefono, poi cambia le password da un altro dispositivo |
| Hai dato un codice di verifica | Considera l’account compromesso e segui la procedura ufficiale di recupero |
Proteggi telefono e account
- Tieni aggiornato il sistema operativo del telefono, come consiglia la FTC.
- Usa password forti e autenticazione a più fattori — meglio ancora una passkey, che non si può digitare in una pagina falsa.
- Un gestore di password non compila su un sito contraffatto: già questo è un segnale d’allarme.
- Dopo ogni passo falso controlla dove sei collegato: dispositivi collegati.
Segnala
Avvisa il gestore del parchimetro, del parcheggio o del negozio dell’adesivo falso e segnala il messaggio al tuo provider di posta o al servizio nazionale — vedi come segnalare il phishing. In caso di danno economico, denuncia alla Polizia Postale; per altri Paesi vedi dove denunciare le frodi online.
Domande frequenti
Scansionare un QR code può hackerare il telefono?
La scansione legge solo un link. Il pericolo è ciò che fai dopo: inserire dati in una pagina falsa o installare qualcosa. La FTC ricorda che un codice può anche portare a un malware: tieni il telefono aggiornato e non installare app da link.
Come capisco se un QR code è falso?
Controlla l’anteprima dell’indirizzo prima di aprirlo, cerca adesivi sopra il codice originale e diffida dei codici in e-mail o SMS inattesi che mettono fretta.
Che cos’è il quishing?
Il phishing tramite QR code: un QR code al posto di un link cliccabile per portare a una falsa pagina di accesso o di pagamento.
Ho pagato il parcheggio con un QR code falso. E ora?
Chiama subito la banca o l’emittente della carta per bloccarla e contestare il pagamento, poi segnala il codice al gestore del parcheggio e alla polizia.
Fonti: FTC — i truffatori nascondono link dannosi nei QR code, FTC — come riconoscere ed evitare il phishing, NCSC — segnalare e-mail, messaggi e siti truffa, FTC — ReportFraud.ftc.gov