QR Code "manomessi": come avviene la truffa e quali rischi comporta

123rf

• I quishing sfruttano QR code per reindirizzare a siti falsi che rubano credenziali, soldi o installano malware.
• La truffa avviene spesso nel mondo fisico su parchimetri, tavoli di locali e colonnine di ricarica, approfittando della disattenzione.
• Per difendersi controlla fisicamente il codice, leggi l'anteprima dell'URL e, in caso di compromissione, avvisa banca e Polizia Postale.

Inquadri, si apre una pagina e… sei già in trappola. No, non stiamo eccedendo con l’allarmismo: le truffe con il QR code, o quishing, sono sempre più diffuse e nei mesi estivi è anche più probabile incapparci.

Infatti, tra parcheggi a pagamento nelle località di vacanza, menu digitali sui tavoli dei ristoranti e colonnine di ricarica lungo i viaggi, le occasioni di scansione si moltiplicano… e, con loro, le opportunità per chi ha trasformato quei quadratini bianchi e neri in un’esca.

• Cosa sono i QR code manomessi?
• Quando può capitare?
• Come funziona?
• Come capire se un QR Code è affidabile?
• Cosa fare se hai scansionato un QR Code truffa?

Cosa sono i QR code manomessi?

La truffa del QR Code, attenzione, non è certo nuova e ha anche un nome: quishing, che nasce dall’unione di QR code e phishing, e descrive una frode che sfrutta la fiducia con cui ormai inquadriamo qualsiasi codice.

Il principio è lo stesso della classica mail ingannevole: la vittima crede di interagire con un soggetto legittimo (un ristorante, un gestore di parcheggi, un corriere) e finisce invece su un sito fraudolento costruito per somigliare a quello originale.

Perché, però, adesso se ne sta parlando di più? Semplice: perché quelli che sono codici qr apparentemente affidabili vengono ora “manomessi” nei luoghi pubblici. Adesivi adatti vengono impiegati per sostituire quelli ufficiali e, addirittura, i codici vengono realizzati in modo tale da differire da quelli affidabili solo per pochissimi dettagli: un puntino o uno spazio, per esempio.

Quando può capitare?

Come dicevamo all’inizio, il periodo estivo è estremamente fertile per questo tipo di truffa. Tutto si svolge non nel mondo digitale ma in quello fisico, dove per diverse ragioni la nostra soglia di attenzione è più bassa, e gli scenari più frequenti raccontano bene questa logica.

C’è la finta multa sul parabrezza, con tanto di QR code che promette uno sconto se si salda subito. Ci sono i già citati adesivi, applicati su parchimetri e colonnine di ricarica, incollati sopra il codice originale del gestore: l’automobilista convinto di pagare la sosta inserisce i dati della carta in un sito civetta.

Nei locali molto affollati possono comparire codici contraffatti sui tavoli, che rimandano a finti menu con richiesta di pagamento anticipato o registrazione. Attenzione però, perché il fenomeno passa anche da falsi volantini pubblicitari, che promettono sconti per prenotazioni sui viaggi o occasioni uniche per gite fuori porta e last minute.

Come funziona?

Una volta atterrati sulla pagina trappola, gli scenari possibili sono tre. Il primo è il furto di credenziali: una schermata di login identica a quella della banca, di Poste o di un social raccoglie nome utente e password.

Il secondo è la perdita economica diretta, perché il finto modulo di pagamento gira i soldi (e i dati della carta) ai truffatori, talvolta attivando anche abbonamenti indesiderati. Il terzo è il download di malware, un software malevolo capace di spiare l’attività dello smartphone e perfino di intercettare gli SMS con i codici OTP.

Come capire se un QR Code è affidabile?

La prima verifica è fisica. Se il codice si trova su un parchimetro, un cartello o un tavolo, vale la pena toccarlo: un adesivo applicato sopra il supporto originale è il segnale d’allarme più chiaro che esista, e in quel caso la scansione va evitata (e la manomissione segnalata al gestore o al responsabile del locale).

La seconda riguarda il linguaggio. L’urgenza è la leva preferita dei truffatori: messaggi che impongono di agire subito per evitare sanzioni, blocchi del conto o la perdita di un’offerta servono a impedirti di ragionare. Una comunicazione legittima raramente ha bisogno di metterti fretta.

La terza, decisiva, è il controllo dell’indirizzo. Quando inquadri un codice, lo smartphone mostra un’anteprima dell’URL prima di aprire la pagina: leggerla con attenzione richiede pochi secondi e smaschera la maggior parte delle frodi, perché i siti civetta usano nomi simili agli originali con piccole storpiature o domini insoliti.

Aiuta anche disattivare l’apertura automatica dei link alla scansione e affidarsi ad app di lettura che analizzano la sicurezza del collegamento prima di aprirlo nel browser.

Cosa fare se hai scansionato un QR Code truffa?

Se hai solo aperto la pagina senza inserire nulla, con ogni probabilità non è successo niente: la semplice scansione raramente basta a infettare il dispositivo. Chiudi il sito, evita di toccare pulsanti o autorizzare download e l’episodio si esaurisce lì.

Se invece hai digitato credenziali o dati di pagamento, il tempo diventa il tuo alleato più prezioso. Cambia subito le password degli account coinvolti, contatta la tua banca per bloccare la carta o monitorare i movimenti sospetti e tieni d’occhio l’estratto conto nei giorni successivi.

Se hai autorizzato il download di un file, evita di aprirlo, esegui una scansione con un antivirus aggiornato e, nei casi più seri, valuta il ripristino del dispositivo. Resta un ultimo passaggio, che troppi saltano: la denuncia alla Polizia Postale, possibile anche online, e la segnalazione alle associazioni dei consumatori.

Raccontare l’accaduto serve a tutelare te (anche ai fini di un eventuale rimborso) e contribuisce a far emergere un fenomeno che vive proprio della fretta e del silenzio delle sue vittime.