Parcheggi in centro, paghi e torni dopo un'ora. Sul parabrezza trovi un foglietto che sembra una multa, con un QR code "per pagare subito ed evitare more". Tiri fuori il telefono, inquadri e si apre una pagina identica a quella del Comune. Inserisci i dati della carta e paghi quei pochi euro. Peccato che quel foglietto non l'abbia messo nessun vigile.
Questa truffa ha un nome: quishing. Nasce dall'unione di QR e phishing. Il codice a quadretti ti porta dritto su una pagina costruita per rubarti dati e soldi. Funziona così bene proprio perché del QR ci fidiamo, senza pensarci.
Perché il QR code aggira il tuo sospetto
Ormai abbiamo imparato a diffidare dei link strani negli SMS. Vediamo l'indirizzo, notiamo che è sospetto, non clicchiamo. Con il QR code questo filtro salta del tutto.
Il codice è un quadrato di puntini illeggibile per l'occhio umano. Non vedi dove ti porta finché non lo inquadri. Quando la fotocamera lo legge, decodifica un indirizzo web e ti propone di aprirlo. La maggior parte delle persone tocca "apri" senza nemmeno guardare l'URL che compare. Il sospetto che applichiamo ai link testuali, davanti al QR sparisce. È un cugino dello smishing, di cui parliamo nella guida sugli SMS truffa della banca, Intesa e Unicredit, ma qui l'inganno è nascosto in un'immagine.
Dove ti aspetta il quishing
I QR fasulli spuntano nei posti più normali. Ecco i casi più diffusi in Italia.
- Parchimetri. Un adesivo falso coperto sopra al QR vero o accanto, che porta a una finta pagina di pagamento della sosta.
- Finte multe sul parabrezza. Un foglietto che imita un verbale, con QR per "pagare la sanzione".
- Avvisi di riconsegna pacco. Cartoncini lasciati in cassetta o sulla porta: "non eravamo in casa, inquadra per riprogrammare la consegna".
- Menu, volantini e locandine. QR appiccicati sopra quelli veri in bar, ristoranti, bacheche e fermate.
- Finti QR PagoPA. Bollettini e avvisi che imitano il sistema dei pagamenti verso la pubblica amministrazione.
In tutti i casi l'obiettivo è uno: portarti su una pagina che chiede i dati della carta o le credenziali del conto.
Perché proprio i pagamenti pubblici
I truffatori amano imitare PagoPA, le multe e la sosta per un motivo preciso. Sono pagamenti che ti aspetti davvero. Una multa può capitare a chiunque, la sosta la paghi tutti i giorni, un avviso PagoPA può arrivare per mille ragioni. Quando l'esca corrisponde a qualcosa di plausibile, il sospetto crolla.
In più, davanti a una presunta sanzione scatta la fretta. Il foglietto sul parabrezza minaccia "more" se non paghi subito. Quella pressione ti spinge a inquadrare il QR senza riflettere, proprio mentre sei di corsa o distratto. È la stessa leva psicologica delle truffe telefoniche, solo applicata a un pezzo di carta.
Ricorda un punto fermo: i pagamenti verso la pubblica amministrazione si fanno solo dai canali ufficiali, l'app dedicata o i siti istituzionali. Un QR su un foglietto lasciato sull'auto non è mai un canale ufficiale, per quanto curato sembri il documento.
Come leggere l'URL prima di aprirlo
La buona notizia è che il QR si può disinnescare con un gesto. Quando inquadri il codice, il telefono non apre subito la pagina: prima ti mostra un'anteprima dell'indirizzo. Fermati a leggerlo.
- Guarda il dominio principale. È la parte prima della prima barra. Per i pagamenti pubblici deve finire in domini istituzionali italiani, non in nomi strani o accorciati.
- Diffida dei link accorciati. Indirizzi che nascondono la vera destinazione dietro un servizio di accorciamento sono un campanello d'allarme.
- Controlla l'ortografia. Lettere scambiate, trattini in più o estensioni insolite tradiscono la copia.
- Non aprire se non sei sicuro. Nel dubbio, chiudi l'anteprima e cerca tu il sito ufficiale a mano.
Quishing e smishing: cosa cambia
| Aspetto | Smishing (SMS) | Quishing (QR code) |
|---|---|---|
| Come arriva | Un messaggio con un link | Un codice da inquadrare |
| Vedi il link? | Sì, prima di toccarlo | No, solo dopo la scansione |
| Dove lo trovi | Sul telefono | Su carta, adesivi, schermi |
| Difesa | Non cliccare il link | Leggere l'URL nell'anteprima |
La logica difensiva è simile, ma il quishing ti coglie nel mondo fisico, dove sei più rilassato. Un adesivo su un parchimetro non scatena lo stesso allarme di un SMS sospetto. Per questo conviene tenere alta l'attenzione anche davanti a un innocuo quadratino.
Cosa fare davanti a un QR sospetto
- Per pagamenti pubblici, non usare il QR di un foglietto: vai sul sito ufficiale del Comune o sull'app dei pagamenti.
- Sui parchimetri, controlla che il QR non sia un adesivo incollato sopra l'originale; in caso di dubbio paga con le monete o l'app ufficiale.
- Per i pacchi, verifica la consegna solo sul sito del corriere reale, mai dal cartoncino.
- Leggi sempre l'anteprima dell'indirizzo prima di toccare "apri".
- Non inserire mai i dati della carta in una pagina raggiunta da un QR non verificato.
- Se un QR copre o affianca quello ufficiale di un esercizio, avvisa il gestore.
Se la pagina dietro al QR ti chiede di chiamare un numero "assistenza", prima di farlo controllalo su un servizio di segnalazioni come numerosospetto.it: spesso quel numero risulta già segnalato per truffa.
Se hai già inserito i dati
Capita di accorgersene un secondo dopo. Non perdere tempo. Le prime ore sono decisive per limitare i danni e bloccare la carta prima che la usino.
Contatta subito la banca per bloccare la carta, cambia le password dei servizi coinvolti e segnala l'episodio alla Polizia Postale tramite il portale commissariatodips.it. Trovi tutti i passi in ordine nella guida su cosa fare nelle prime 24 ore dopo aver dato i dati a una truffa.
Piccole abitudini che ti proteggono
Difendersi dal quishing non richiede competenze tecniche. Bastano poche abitudini, da rendere automatiche come allacciare la cintura. Una volta acquisite, lavorano per te senza sforzo.
La prima è leggere sempre l'anteprima dell'indirizzo. Diventa un riflesso: inquadro, guardo il dominio, decido. La seconda è non inserire mai i dati della carta in una pagina aperta da un QR che non hai cercato tu. La terza è cercare il sito ufficiale a mano quando devi pagare qualcosa, invece di farti guidare da un codice trovato chissà dove.
C'è poi un dettaglio che fa la differenza con i finti adesivi. Quando inquadri un QR su un parchimetro o su una locandina, controlla con un dito se è un adesivo applicato sopra l'originale. I QR truffa sono quasi sempre etichette incollate, non stampate sul supporto. Un bordo che si solleva o una superficie che non combacia con il resto sono indizi che qualcosa non va.
FAQ
Un QR code può davvero rubarmi i soldi?
Il QR di per sé è solo un indirizzo web. Il pericolo è la pagina a cui ti porta: una copia di un sito di pagamento che ti chiede i dati della carta o le credenziali del conto. Se inserisci quei dati, finiscono ai truffatori. Il codice è solo il modo per portartici senza farti vedere il link.
Come controllo dove mi porta un QR prima di aprirlo?
Quando lo inquadri, il telefono ti mostra un'anteprima dell'indirizzo prima di aprirlo. Leggi quel testo: guarda il dominio principale, diffida dei link accorciati e degli errori di ortografia. Se qualcosa non torna, chiudi l'anteprima e cerca tu il sito ufficiale a mano.
I QR sui parchimetri e sui menu sono sicuri?
Quelli originali sì, ma i truffatori incollano adesivi falsi sopra quelli veri. Prima di inquadrare, controlla che il codice non sia un adesivo aggiunto. In caso di dubbio, per la sosta usa le monete o l'app ufficiale del gestore, senza passare dal QR.
Ho ricevuto un cartoncino di "riconsegna pacco" con un QR, è vero?
Quasi sempre no. I corrieri reali ti fanno gestire la riconsegna dal loro sito o dall'app, non da un QR su un cartoncino lasciato alla porta. Verifica la spedizione solo sul sito ufficiale del corriere, usando il codice di tracciamento del tuo ordine.
In sintesi
Il quishing funziona perché il QR nasconde la destinazione e abbassa la guardia che ormai abbiamo verso i link. La difesa è un gesto solo: leggere l'anteprima dell'indirizzo prima di aprirlo. Per i pagamenti pubblici e i pacchi, vai sempre sul sito ufficiale a mano, e non dare mai i dati della carta a una pagina raggiunta da un codice trovato in giro.