Inquadri un QR code per pagare il parcheggio, leggere un menu, aprire un biglietto o ricevere informazioni. Il gesto è diventato così normale che spesso apriamo il collegamento quasi automaticamente. Proprio questa abitudine può essere sfruttata nelle truffe.
Perché un QR code può diventare una trappola
Un QR code non è pericoloso in sé: spesso contiene semplicemente un indirizzo web. Il problema nasce quando quel collegamento porta a una pagina falsa progettata per rubare password, dati personali o informazioni di pagamento. Il 3 settembre 2026 la Federal Trade Commission statunitense ha pubblicato un nuovo avviso sui QR code fraudolenti applicati nei parcheggi, dopo segnalazioni di codici sovrapposti a quelli legittimi sui parcometri.
Prima regola: guarda anche l'adesivo
Se il codice si trova su un parcometro, un cartello o un oggetto pubblico, controlla il supporto fisico. Bordi sollevati, un adesivo sopra un altro, materiali diversi o segni di manomissione sono motivi sufficienti per non procedere e cercare un canale alternativo.
Prima di aprire, leggi l'indirizzo
Molti telefoni mostrano un'anteprima dell'indirizzo collegato al QR code. Leggi il dominio prima di aprirlo. Una lettera cambiata, una parola aggiuntiva o un dominio che ricorda quello originale senza esserlo possono indicare phishing. Se devi pagare o accedere a un account e hai dubbi, chiudi la scansione e usa l'app ufficiale o digita personalmente l'indirizzo noto.
Il lucchetto non dimostra che il sito sia autentico
HTTPS cifra la comunicazione con il sito, ma non garantisce che chi lo gestisce sia affidabile. Anche un sito fraudolento può utilizzare HTTPS. L'identità del dominio e il contesto della richiesta restano controlli essenziali.
QR code ricevuti via email, SMS o messaggio
La FTC raccomanda particolare cautela con codici ricevuti in comunicazioni inattese, soprattutto quando chiedono di agire immediatamente. Pacchi da riconsegnare, account da verificare, pagamenti non riusciti e presunti problemi di sicurezza sono pretesti comuni. Se il messaggio potrebbe essere vero, verifica attraverso un sito, un'app o un recapito che conosci già.
L'urgenza è un segnale d'allarme
Frasi come “paga subito”, “account in sospensione” o “conferma immediatamente i dati” cercano di ridurre il tempo dedicato ai controlli. CERT-AgID ha segnalato nel 2025 anche una campagna che imitava AgID e sfruttava la presunta sospensione imminente di SPID per sottrarre credenziali e documenti. Il principio è semplice: quando una comunicazione crea paura o fretta e chiede dati sensibili, verifica separatamente.
Attenzione anche ai pacchi mai ordinati
Nel 2026 la FTC ha richiamato le brushing scam: pacchi inattesi usati anche per alimentare recensioni false. In alcuni casi un QR code inserito nel pacco promette di rivelare il mittente o spiegare il reso, ma può portare a una pagina di phishing. Se non hai ordinato nulla, verifica direttamente nel tuo account dell'e-commerce senza utilizzare il codice ricevuto.
Quando il QR code chiede un pagamento
La soglia di attenzione deve aumentare se compaiono richieste di carta, bonifico, credenziali bancarie o wallet. Controlla dominio, importo e beneficiario. Se esiste un'app ufficiale, usala direttamente. Davanti a un parcometro o in un esercizio commerciale, chiedi conferma al personale quando possibile.
Un QR code può installare automaticamente un virus?
La semplice immagine di un QR code non è un virus e la scansione normalmente serve a decodificare un'informazione. Il codice può però condurre a un sito malevolo o a un percorso che tenta di convincerti a scaricare software, concedere autorizzazioni o fornire dati. Mantieni sistema operativo e applicazioni aggiornati e non installare file o profili richiesti da pagine sospette.
Hai già scansionato un codice sospetto
Se hai soltanto visto l'anteprima, chiudila. Se hai aperto il sito senza inserire dati, chiudi la pagina e controlla di non aver autorizzato download o notifiche. Se hai inserito una password, cambiala immediatamente sul servizio autentico e ovunque sia stata riutilizzata, quindi attiva l'autenticazione a più fattori. Se hai fornito dati della carta o pagato, contatta subito banca o emittente attraverso i canali ufficiali e controlla i movimenti.
QR code nelle attività: non bisogna smettere di usarli
Menu digitali, pagine informative, biglietti e sistemi di prenotazione possono utilizzare QR code in modo legittimo. Per chi gestisce un'attività è però utile controllare periodicamente i codici esposti al pubblico, soprattutto all'esterno, e usare domini riconoscibili affinché il cliente possa verificare facilmente la destinazione.
La regola da ricordare
Non fidarti del quadratino: verifica la destinazione. Pochi secondi per leggere il dominio, osservare il supporto e valutare il contesto possono evitare di consegnare dati o denaro a una pagina falsa.
Checklist da ricordare in dieci secondi
- Guarda se il QR code sembra originale o sovrapposto.
- Leggi l'URL mostrato dal telefono prima di aprirlo.
- Controlla attentamente il nome del dominio.
- Diffida di richieste inattese e urgenti.
- Non inserire password o carta se non sei certo del sito.
- Per servizi importanti, usa direttamente app o sito ufficiale.
- Mantieni smartphone e applicazioni aggiornati.
- Proteggi gli account importanti con autenticazione a più fattori.
Fonti dell'approfondimento
Le indicazioni sui QR code fraudolenti nei parcheggi provengono dalla Federal Trade Commission, Consumer Advice, avviso del 3 settembre 2026 “See a QR code parked somewhere? Don't scan it…yet!”. La FTC aveva già pubblicato indicazioni sul phishing tramite QR code e nel 2026 ha richiamato anche il rischio di codici inseriti in pacchi inattesi. Per il contesto italiano è stata consultata inoltre la segnalazione CERT-AgID del 7 maggio 2025 sulla campagna di phishing a tema SPID tramite falso dominio AgID.
Domande frequenti
È pericoloso scansionare qualsiasi QR code?
No. Il rischio nasce quando il codice conduce a una destinazione fraudolenta o induce a fornire dati, pagare o installare software.
Come capisco se un QR code è falso?
Non sempre dal disegno. Controlla il supporto fisico e soprattutto l'indirizzo web mostrato dal telefono prima di aprirlo.
Un sito con HTTPS è sicuramente sicuro?
No. HTTPS protegge la trasmissione dei dati, ma anche un sito fraudolento può usarlo. Verifica il dominio.
Cosa faccio se ho inserito una password?
Cambiala subito sul servizio autentico e sugli altri account dove l'hai riutilizzata. Attiva l'autenticazione a più fattori e controlla eventuali accessi anomali.
E se ho inserito i dati della carta?
Contatta immediatamente banca o emittente tramite i recapiti ufficiali, verifica i movimenti e segui le indicazioni per eventuale blocco o contestazione.
Vuoi applicare queste idee alla tua attività?
Parliamone insieme
