Phishing: la truffa del QR code falso che ruba soldi e dati

La truffa qr code è uno dei trucchi più diffusi in questo periodo, ed è pensata proprio per colpire chi ha fretta o è distratto. Tu scansioni un codice quadrato in bianco e nero pensando di pagare un parcheggio o una bolletta, e invece finisci su un sito falso che ruba i tuoi soldi o i tuoi dati personali. Non serve essere esperti di tecnologia per caderci, capita a chiunque, anche a chi usa lo smartphone ogni giorno con sicurezza.

Se sei arrivato fino a questo articolo, probabilmente hai sentito parlare di questo tipo di phishing, oppure vuoi semplicemente capire come proteggerti e proteggere la tua famiglia. Magari hai visto un adesivo strano su una colonnina, o un familiare ti ha raccontato di aver quasi pagato su un sito che non convinceva. In questo testo trovi spiegazioni semplici, esempi concreti della vita di ogni giorno e i passi da seguire se pensi di essere già stato vittima.

Capire come funziona questa truffa non richiede conoscenze tecniche particolari. Bastano pochi minuti di lettura per imparare a riconoscerla e per sapere esattamente cosa fare, sia per prevenirla sia per reagire se è già successo.

La truffa qr code funziona incollando un codice falso sopra quello vero

Il meccanismo alla base di questo phishing è più semplice di quanto immagini. I truffatori stampano un adesivo con un qr code falso, identico nell’aspetto a quello ufficiale, e lo incollano sopra il codice originale. Tu, senza accorgerti di nulla, scansioni l’adesivo pensando che sia quello vero, perché tutto intorno sembra normale e familiare.

Il qr code falso ti porta su un sito costruito apposta per sembrare autentico, con loghi e colori simili a quelli di un ente pubblico o di un’azienda conosciuta. Lì ti viene chiesto di inserire i dati della carta, il codice fiscale o le credenziali del conto online. Da quel momento, quei dati finiscono nelle mani dei truffatori, che possono usarli per prelevare soldi o per aprire servizi a tuo nome.

Quello che rende pericolosa la truffa qr code è proprio la sua semplicità. Non serve un attacco informatico complesso, basta un adesivo stampato bene e messo nel posto giusto, dove tante persone passano ogni giorno con fretta e poca attenzione. Chi lavora tutto il giorno e ha pochi minuti per fare la spesa o spostarsi in città è, purtroppo, un bersaglio ideale per questo tipo di phishing.

Il phishing colpisce parcheggi, multe, bollette e finte offerte di lavoro

La truffa colonnine parcheggio è probabilmente l’esempio più comune, e forse anche quello che hai già incontrato senza saperlo. I truffatori applicano il loro adesivo direttamente sulla colonnina dove di solito paghi la sosta, spesso in zone trafficate o vicino a ospedali e stazioni, dove le persone hanno fretta di allontanarsi.

Un’altra situazione frequente riguarda i foglietti lasciati sul parabrezza dell’auto, che sembrano multe ufficiali con un qr code per pagare subito, magari con uno sconto se paghi entro poche ore. In realtà nessun ente multa in questo modo, tramite un semplice foglio con solo un codice da scansionare, senza altri riferimenti verificabili come un numero di verbale controllabile online. Una vera multa arriva sempre per posta o tramite notifica digitale ufficiale, mai attaccata al vetro con un solo codice da inquadrare.

Anche le bollette di casa possono diventare un pretesto per questo tipo di truffa qr code. Alcune persone ricevono comunicazioni false, lasciate nella cassetta della posta o sotto la porta, che imitano una bolletta di luce, gas o acqua con un qr code per il pagamento immediato. Chi ha già poco tempo per controllare ogni dettaglio rischia di pagare senza verificare, soprattutto quando il messaggio parla di distacco imminente del servizio.

Esistono anche volantini con finte offerte di lavoro, molto pericolosi per chi cerca un’occupazione con urgenza, magari da poco arrivato in Italia e non ancora sicuro di come funzionano le procedure ufficiali. Questi volantini chiedono di scansionare un codice per candidarsi o per ricevere informazioni, ma portano invece a pagine che raccolgono dati personali o chiedono un pagamento anticipato per garantire il colloquio.

Riconoscere un qr code falso richiede pochi secondi di attenzione

La buona notizia è che difendersi da questo tipo di phishing non richiede competenze tecniche, ma solo l’abitudine a fermarsi un attimo prima di scansionare. Bastano pochi gesti semplici, ripetuti ogni volta che ti trovi davanti a un codice da scansionare.

Prima di tutto, osserva con attenzione il materiale stampato. Un qr code falso applicato sopra quello originale spesso ha bordi leggermente diversi, un colore della carta un po’ diverso, oppure sporge appena dalla superficie rispetto al resto del cartello. Passare un dito sopra il codice ti aiuta a sentire se c’è un adesivo in rilievo sopra la stampa originale, una differenza che quasi sempre si nota al tatto anche senza guardare bene.

Dopo aver scansionato, non confermare subito nessun pagamento. Il telefono mostra sempre l’indirizzo del sito prima che tu apra la pagina, di solito in alto sullo schermo o in una piccola finestra di anteprima. Controlla che l’indirizzo corrisponda davvero all’ente che ti aspetti, come il Comune o la tua azienda di fornitura, e non a un nome strano, troppo lungo o con lettere e numeri senza senso.

Se qualcosa ti sembra strano, come richieste insolite di dati o una fretta eccessiva nel messaggio, fermati e verifica per un’altra via, per esempio chiamando direttamente l’ente tramite un numero che già conosci, non quello scritto sull’adesivo sospetto. Questa pausa di pochi secondi è la miglior difesa contro la truffa qr code, e nessuna situazione urgente giustifica saltare questo controllo.

Chi è già caduto nella trappola può limitare i danni agendo subito

Se pensi di essere già stato vittima di questo phishing, la cosa più importante è agire in fretta, senza vergogna. Cadere in una truffa qr code ben fatta può capitare a chiunque, anche a persone attente, e non è colpa tua se sei stato ingannato da un adesivo studiato apposta per sembrare vero.

Ecco i passi da seguire subito dopo aver notato qualcosa di sospetto:

• blocca immediatamente la carta usata, chiamando la banca o Postepay tramite il numero ufficiale stampato sulla carta stessa
• cambia subito le password degli account collegati, soprattutto se hai inserito dati di accesso sul sito falso
• controlla i movimenti recenti del conto e segnala alla banca ogni operazione che non riconosci
• presenta una denuncia alla Polizia Postale, portando con te screenshot del sito falso e della scansione, se li hai ancora
• avvisa un familiare o una persona di fiducia, così da avere supporto pratico mentre sistemi la situazione

Se sei un immigrato e temi che rivolgerti alla polizia possa creare problemi con il tuo documento di soggiorno, sappi che denunciare una truffa non mette a rischio la tua posizione in nessun modo. La Polizia Postale si occupa di reati informatici, non di controlli sui documenti, ed è lì apposta per aiutare chi è stato truffato, indipendentemente dalla sua nazionalità.

La protezione quotidiana passa da abitudini semplici e app ufficiali

Per ridurre il rischio di cadere di nuovo in una truffa qr code, conviene cambiare qualche piccola abitudine nella vita di tutti i giorni, senza bisogno di rinunciare alla comodità dei pagamenti digitali che ormai fanno parte della routine di tutti.

Quando devi pagare un parcheggio, una multa o una bolletta, preferisci sempre le app ufficiali, come l’app IO, invece di scansionare qr code trovati su adesivi, volantini o fogli lasciati in giro. Le app ufficiali ti portano direttamente al servizio corretto, senza passare da un codice che potrebbe essere stato manomesso da qualcuno passato prima di te.

Evita anche di scansionare qr code ricevuti tramite messaggi da numeri sconosciuti, anche quando sembrano urgenti o legati a un pacco, un rimborso o un premio inaspettato. Il phishing punta proprio sulla fretta e sulla paura di perdere un’occasione o di avere un problema, spingendoti ad agire senza pensare.

Parlarne anche con i familiari più anziani o meno abituati alla tecnologia aiuta tutta la famiglia a riconoscere una truffa qr code prima che faccia danni. Spesso basta una conversazione semplice, magari mostrando un esempio reale visto in giro, per rendere tutti più attenti, anche chi usa lo smartphone da poco tempo.

Se lavori in un negozio, in un parcheggio o in un condominio, puoi anche aiutare gli altri segnalando subito al proprietario del cartello o alla polizia locale un adesivo che ti sembra sospetto. Un semplice controllo visivo ogni tanto può evitare che decine di persone cadano nella stessa truffa qr code nello stesso punto, magari per settimane, prima che qualcuno se ne accorga.

Con un po’ di attenzione, la truffa qr code diventa molto più facile da riconoscere. Guardare bene il materiale stampato, controllare l’indirizzo del sito prima di confermare e preferire sempre le app ufficiali sono abitudini semplici che proteggono te e la tua famiglia, senza bisogno di rinunciare alla comodità della vita digitale.

Le informazioni di questo articolo si basano sui protocolli di sicurezza della Polizia Postale e del CERT-AgID e hanno carattere educativo. Non promettono il recupero garantito di somme perse: se sei stato vittima di una truffa, rivolgiti direttamente alla Polizia Postale per una valutazione della tua situazione specifica.