Codici QR falsi e quishing: come riconoscerli prima di scansionare

Che cos'è un codice QR falso?

Un codice QR falso è un codice QR piazzato da un truffatore che apre una pagina di phishing, una falsa pagina di pagamento o un download invece di ciò che il contesto lascia intendere. Il motivo è un codice QR del tutto normale - non c'è niente nei quadratini che lo segnali come falso. Ciò che rende falso un codice è dove è stato messo e dove porta.

Un codice QR memorizza testo, e in quasi ogni truffa quel testo è un indirizzo web, l'unico contenuto di un codice QR URL. Scansionare il codice non esegue nulla sul telefono: la fotocamera legge l'indirizzo e propone di aprirlo. Il danno comincia nella pagina che si apre: una copia della pagina di pagamento di un gestore di parcheggi, una pagina di accesso travestita da Microsoft 365, un modulo per la riconsegna di un pacco che chiede i dati della carta, o la richiesta di installare un'app.

L'FBI ha lanciato l'allarme in un avviso pubblico del 18 gennaio 2022, spiegando che i criminali manomettevano codici QR sia digitali sia fisici per dirottare le vittime verso siti malevoli che rubano credenziali e dati finanziari. La FTC ha ripetuto l'avvertimento in un'allerta per i consumatori del 6 dicembre 2023.

Che cos'è il quishing?

Il quishing è il phishing condotto tramite un codice QR invece che tramite un link cliccabile, una parola che il settore della sicurezza ha formato da QR e phishing. Il codice QR di solito arriva in un'email o in un allegato PDF che imita un mittente familiare - un reset della password, un avviso di autenticazione a più fattori, un documento condiviso o la consegna di un pacco - e ti chiede di scansionarlo con il telefono.

Il quishing via email funziona per due ragioni tecniche. Primo, il link è dentro un'immagine: il National Cyber Security Centre del Regno Unito ha osservato nel febbraio 2024 che non tutti gli strumenti di sicurezza email analizzano le immagini, quindi un link che verrebbe bloccato come testo può passare come codice QR. Secondo, la scansione sposta la vittima da un computer di lavoro a un telefono personale, che, come ha sottolineato Cisco Talos nel febbraio 2024, resta fuori dalla maggior parte del monitoraggio di sicurezza aziendale.

I filtri email stanno recuperando terreno. Microsoft ha annunciato nel novembre 2024 che Defender for Office 365 ora è in grado di estrarre gli URL nascosti nelle immagini dei codici QR nelle prime fasi del flusso di posta, così vengono controllati come qualsiasi altro link. Questo riduce il divario senza chiuderlo, perché lo stesso codice può arrivare invece come PDF, lettera o SMS.

Un segnale distingue la maggior parte del quishing dalla posta legittima: un servizio vero raramente ti chiede di scansionare un codice QR da un'email sul computer per accedere. Un messaggio che ti dice di prendere il telefono e scansionare, con urgenza, per non perdere l'account è lo schema davanti a cui fermarsi.

Dove compaiono i codici QR falsi

I codici QR falsi compaiono ovunque le persone si aspettano di pagare o agire in fretta e non possono verificare facilmente chi ha messo lì un codice. Secondo la valutazione dell'NCSC del febbraio 2024, la maggior parte delle frodi con codici QR avviene in spazi aperti come stazioni e parcheggi. I casi documentati si concentrano in pochi contesti:

Diverse amministrazioni locali hanno risposto alle frodi sui parcheggi dichiarando chiaramente che non usano codici QR. Kensington and Chelsea ha dichiarato nel gennaio 2025 che il suo sistema di parcheggio non usa affatto codici QR, e Hartlepool ha dichiarato nel maggio 2025 che i suoi parchimetri non li useranno mai. Un codice QR su una macchina il cui gestore dice così è falso per definizione.

Come riconoscere un codice QR falso

Riconosci un codice QR falso controllando tre cose prima di aprirlo: se il codice è un adesivo applicato sopra qualcosa, se ti aspettavi davvero un codice in quel posto, e se il dominio nell'anteprima del telefono appartiene all'organizzazione con cui pensi di avere a che fare. Il controllo del dominio è quello che smaschera di più, perché è l'unico che un truffatore non può falsificare.

Un dominio è il nome del sito web che un link apre, la parte tra https:// e la barra singola successiva. In https://parking.example-city.gov/pay il dominio è parking.example-city.gov; in https://example-city.gov.pay-now.io è pay-now.io, qualunque cosa dica l'inizio. Leggi da destra: la parte subito prima della prima barra singola è quella che decide dove ti trovi.

Un lucchetto o https all'inizio del link non significano che una pagina sia autentica. Significano solo che la connessione è cifrata, e le pagine truffa usano https abitualmente quanto quelle vere.

Come controllare un codice QR prima di aprirlo

Controlla un codice QR prima di aprirlo leggendo il link che il telefono ti mostra, senza toccarlo. Su iPhone o iPad, le istruzioni di Apple sono di inquadrare il codice con la fotocamera e poi toccare il link per aprirlo - lo spazio tra questi due passaggi è il momento in cui leggerlo. Le app fotocamera di Android e Google Lens di solito mostrano il link come un pulsante da toccare, il che ti dà lo stesso momento per leggerlo.

1. Guarda il codice prima di scansionarlo. Passa un dito sul bordo del codice. Un adesivo sopra un codice stampato, un codice su una macchina che ha già il suo lettore di carte, o un codice su un avviso senza il nome di nessuna organizzazione sono motivi per fermarsi qui.
2. Scansiona con la fotocamera del telefono. Usa l'app Fotocamera o Google Lens, non un'app di scansione scaricata. L'FBI e l'NCSC consigliano entrambi di usare lo scanner integrato nel telefono.
3. Leggi il dominio nell'anteprima. Prima di toccare, leggi il dominio che mostra il telefono. Deve essere il dominio dell'organizzazione, scritto correttamente, senza niente di strano dopo.
4. Decodifica una foto se l'anteprima non è chiara. Fotografa il codice e apri la foto in uno scanner di codici QR che funziona nel browser, che mostra il link completo come testo senza aprirlo.
5. Vai tu ai pagamenti e agli accessi. Se il codice porta a un pagamento o a un accesso, chiudilo e digita l'indirizzo dell'organizzazione o apri invece la sua app ufficiale. Il consiglio dell'FBI è di evitare di pagare tramite un sito a cui ti ha portato un codice QR.

Vale la pena leggere il link completo quando l'anteprima ne mostra solo una parte. Unit 42, il team di ricerca di Palo Alto Networks, ha osservato nell'aprile 2025 che le app fotocamera dei telefoni mostrano solo il dominio, e che i truffatori fanno rimbalzare le vittime attraverso reindirizzamenti su siti legittimi perché il primo dominio sembri innocuo. KoloQR, un generatore di codici QR gratuito con codici QR circolari e di forme personalizzate, ha uno scanner di codici QR che legge uno screenshot o una foto nel browser, non carica nulla, e mostra l'intero link come testo, compreso qualsiasi parametro di reindirizzamento al suo interno. Per altri modi di leggere un codice da un'immagine, vedi come scansionare un codice QR da un'immagine.

I codici QR sono sicuri?

I codici QR sono sicuri quanto il link o l'azione che contengono. Scansionare un codice con la fotocamera del telefono ne legge solo il testo; il rischio comincia quando apri il link, inserisci dati nella pagina, installi un'app che ti propone, o approvi un'azione come collegarti a una rete Wi-Fi o avviare un pagamento. Un codice che ti aspettavi, di un'organizzazione di cui ti fidi, su qualcosa che ha stampato lei, è a basso rischio.

Anche i telefoni hanno avuto bug legati ai codici QR, ed è per questo che tenere aggiornato il sistema è nell'elenco della FTC. Nel marzo 2018 un ricercatore ha mostrato che l'app Fotocamera di iOS 11 poteva mostrare un sito nell'anteprima e aprirne un altro; Apple l'ha corretto in iOS 11.3. Un'anteprima di cui fidarsi richiede un telefono aggiornato.

Altri contenuti chiedono qualcosa di diverso da un link. Un codice QR Wi-Fi chiede di collegarsi a una rete, un codice contatto chiede di salvare una scheda, e un codice per telefono o SMS prepara una chiamata o un messaggio da inviare. Leggi cosa propone il telefono prima di accettare, esattamente come leggeresti un link.

Le app di scansione scaricate aggiungono rischio invece di toglierlo. L'avviso dell'FBI del 2022 dice di non scaricare un'app per scansionare codici QR, perché la maggior parte dei telefoni ne ha già una nella fotocamera. Uno scanner separato è un'app in più con permessi sul tuo telefono, e non legge i codici meglio della fotocamera.

Cosa fare se hai scansionato un codice QR falso

Se hai solo scansionato un codice QR falso e chiuso la pagina, molto probabilmente non è successo nulla: leggere un link non dà a nessuno i tuoi dati. Se hai inserito qualcosa nella pagina, agisci il giorno stesso, nell'ordine qui sotto. L'allerta della FTC del gennaio 2025 indica gli stessi passaggi per chiunque abbia digitato informazioni in una pagina aperta da un codice QR.

1. Dati della carta o del conto: chiama il numero sul retro della carta e chiedi alla banca di bloccarla e di controllare i pagamenti recenti.
2. Una password: cambiala sul sito vero, e su ogni altro sito dove usi la stessa. Attiva l'autenticazione a due fattori.
3. Un'app che hai installato: eliminala, e controlla nelle impostazioni del telefono eventuali profili di gestione del dispositivo o permessi che ha aggiunto.
4. Dati personali come indirizzo o data di nascita: controlla i tuoi report di credito e tieni d'occhio gli estratti conto per individuare nuovi conti.
5. Segnalalo: al gestore del parcheggio o all'amministrazione locale per un adesivo, al tuo provider email o al reparto IT del datore di lavoro per un'email, e negli Stati Uniti all'IC3 dell'FBI o alla FTC, nel Regno Unito ad Action Fraud.

Se il codice era su un parchimetro, avvisa il gestore così l'adesivo viene rimosso prima che lo usi il prossimo automobilista, e paga il parcheggio tramite il canale ufficiale per non prendere anche una multa vera.

Come le aziende possono proteggere i propri codici QR stampati

Le aziende proteggono i codici QR stampati soprattutto rendendo facile notare un adesivo sovrapposto e facile verificare la destinazione vera. Nessuno standard ufficiale regola la questione; le misure qui sotto sono quelle pratiche che derivano da come funzionano le truffe dei parcheggi, e valgono allo stesso modo per un menu, un cartello di pagamento o un poster.

• Stampa il dominio sotto il codice. Una riga come "Apre pay.yourshop.com" dà a chi scansiona qualcosa da confrontare con l'anteprima. Un adesivo dovrebbe coprire anche il testo.
• Stampa il codice nel cartello invece di incollarlo sopra. Un codice stampato nella grafica, plastificato o dietro un vetro rivela subito un sostituto incollato sopra.
• Controlla i cartelli incustoditi a scadenze fisse. Alcune amministrazioni locali britanniche che hanno trovato adesivi falsi ora fanno controllare le macchine dagli addetti e li rimuovono; un cartello di pagamento che non vedi dal bancone merita la stessa attenzione.
• Usa il tuo dominio. Un codice che apre yourshop.com ispira più fiducia di uno che apre un servizio di link brevi, e resta sotto il tuo controllo.
• Indica il beneficiario sui cartelli di pagamento. Per un codice QR Venmo o un codice QR PayPal, stampa il nome utente accanto al codice così chi paga può confrontarlo con la pagina che si apre.
• Di' ai clienti cosa non usi. Se non accetti mai pagamenti tramite codice QR, scrivilo sulla macchina, come fanno ora diverse amministrazioni locali.

I codici statici sono quelli più facili da verificare, perché il link stampato nel motivo è la destinazione finale. Un codice dinamico fa passare ogni scansione prima da un reindirizzamento, il che è utile quando la destinazione deve cambiare ma significa che il link visibile non è la pagina che si apre. Codici QR statici e dinamici spiega quando conviene l'uno o l'altro.

Ti serve un codice QR finto per un mockup o un test?

Per un mockup grafico, un oggetto di scena o una stampa di prova, usa un codice QR vero che punta a un indirizzo riservato e innocuo come https://example.com. RFC 2606 riserva example.com, example.net ed example.org alla documentazione, quindi il codice si scansiona, apre una pagina segnaposto, e non potrà mai portare nessuno in un posto inatteso dopo che il dominio cambia proprietario.

Evita due scorciatoie. Un motivo casuale di quadratini che non è un codice valido sembra sbagliato a chiunque conosca i codici QR e manda in stallo uno scanner. Un codice che punta a un sito vero che non possiedi - o a un accorciatore di link che potrebbe essere riutilizzato in seguito - può mandare chi scansiona il tuo mockup su una pagina che non hai mai visto.

Il generatore KoloQR crea un codice segnaposto da qualsiasi indirizzo in pochi secondi, nella forma e nei colori del design finale, così il mockup mostra le dimensioni e l'aspetto reali. Sostituiscilo con il link definitivo prima che la grafica vada in stampa.