QR code, prima di aprire fermati un momento: come proteggere dati e denaro dalle truffe nascoste

Prima di aprire un collegamento tramite QR code, controlla la destinazione e verifica le richieste di dati o pagamenti attraverso i canali ufficiali.

Un menu, un parcheggio, una comunicazione apparentemente ufficiale: quel quadratino può essere utile, ma come possiamo sapere dove ci porterà?

Dopo aver affrontato il tema della falsa multa con QR code, è utile allargare lo sguardo a uno strumento entrato nelle nostre abitudini quotidiane. Non tutti i QR code sono una truffa, naturalmente, ma imparare a utilizzarli con attenzione significa proteggere i propri dati e il proprio denaro. La prevenzione comincia dalla conoscenza, con spiegazioni comprensibili anche a chi non ha particolare dimestichezza con la tecnologia.

Pier Carlo Lava

Inquadrare un codice con la fotocamera del telefono è diventato un gesto quasi automatico. Lo facciamo per leggere il menu di un ristorante, consultare informazioni turistiche, accedere a un servizio o pagare un parcheggio. La comodità, però, può farci saltare un controllo fondamentale: verificare che cosa stiamo per aprire e chi ci sta chiedendo di farlo.

Un QR code contiene informazioni che il telefono può interpretare, per esempio un indirizzo internet. Il problema è che, guardando il quadratino stampato, non possiamo leggere direttamente la destinazione. I criminali sfruttano questa caratteristica per indirizzare le persone verso pagine ingannevoli. La tecnica viene chiamata “quishing”, una forma di phishing che utilizza i QR code per attirare la vittima nella trappola.

La Polizia di Stato e la Banca d’Italia hanno richiamato l’attenzione su questo rischio: un codice può condurre a un sito che imita quello di un servizio conosciuto, con l’obiettivo di ottenere informazioni personali, credenziali di accesso o dati bancari. Il nome e il logo di un’organizzazione possono essere copiati, rendendo credibile una pagina che non appartiene affatto al soggetto indicato.

La prima domanda è inevitabile: possiamo riconoscere un QR code fraudolento prima di utilizzarlo? Dal solo aspetto grafico, no. Un codice autentico e uno creato per una truffa possono apparire ugualmente normali. Bisogna quindi valutare la provenienza, leggere il collegamento quando viene mostrato dal telefono e prestare attenzione alle richieste successive.

Anche il luogo in cui troviamo il codice merita un controllo. Un cartello vicino a un parcheggio può sembrare affidabile, ma qualcuno potrebbe avere incollato un adesivo sopra il codice originale. Bordi sovrapposti, etichette aggiunte o istruzioni insolite sono segnali da approfondire. La mancanza di anomalie visibili, tuttavia, non costituisce una garanzia.

È altrettanto importante distinguere i diversi passaggi. Inquadrare il codice e leggere l’anteprima del collegamento non equivale ad autorizzare un pagamento o a consegnare una password. Aprire il sito, inserire informazioni, scaricare un file e installare un’applicazione sono azioni diverse, con conseguenze diverse. Non è corretto sostenere che ogni scansione permetta automaticamente di svuotare un conto corrente.

Il rischio più comune è essere convinti a fornire volontariamente ciò che il truffatore cerca. Una pagina può chiedere i dati della carta per un piccolo pagamento, le credenziali della posta elettronica per consultare un documento oppure informazioni bancarie per una presunta verifica. L’importo iniziale apparentemente modesto non rende innocua la richiesta: il vero obiettivo potrebbe essere acquisire dati da utilizzare successivamente.

Esistono anche collegamenti che portano a scaricare software dannosi o invitano a installare applicazioni contraffatte. Scaricare un file non significa necessariamente averlo già installato, ma richieste di installazione, autorizzazioni insolite e inviti a disattivare le protezioni del telefono devono far interrompere l’operazione. Aggiornare sistema operativo, browser e applicazioni contribuisce a ridurre i rischi.

Prima di aprire un collegamento, conviene usare la fotocamera integrata nel telefono e leggere l’anteprima dell’indirizzo, quando disponibile. Non basta trovare il nome della banca o del Comune in un punto qualsiasi del collegamento: occorre controllare il dominio effettivo, cioè il nome del sito. Lettere sostituite, parole aggiunte e indirizzi abbreviati possono rendere la verifica più difficile. Se l’indirizzo è tagliato o poco chiaro, non bisogna sentirsi obbligati a procedere.

Un’altra convinzione da correggere riguarda il lucchetto e la scritta “https”. Indicano che la connessione è cifrata, ma non certificano l’onestà del sito. Anche una pagina fraudolenta può utilizzarli. Allo stesso modo, un italiano corretto, una grafica curata e un logo familiare non sono prove sufficienti di autenticità.

La fretta resta uno dei principali strumenti dei truffatori. “Paga immediatamente”, “il conto sarà bloccato”, “il pacco non può essere consegnato”: messaggi di questo tipo cercano di provocare una reazione impulsiva. Quando una richiesta inattesa unisce urgenza, denaro e dati riservati, la scelta prudente è fermarsi e verificare attraverso un canale indipendente.

Immaginiamo, per esempio, una pagina raggiunta da un QR code che dovrebbe mostrare il menu di un ristorante e che invece chiede una carta di credito o l’installazione di un’app sconosciuta. La richiesta non è coerente con ciò che volevamo fare. Possiamo chiudere la pagina e chiedere direttamente al personale, senza fornire informazioni.

Per una multa, un pagamento o una comunicazione bancaria, il comportamento più affidabile consiste nell’aprire autonomamente l’app ufficiale già utilizzata oppure raggiungere il sito attraverso un indirizzo conosciuto. In alternativa, si può contattare l’organizzazione usando un recapito verificato. Il numero riportato nella stessa comunicazione sospetta non rappresenta una verifica indipendente.

Se abbiamo già aperto una pagina dubbia, non dobbiamo farci prendere dal panico: occorre chiuderla e valutare che cosa abbiamo effettivamente fatto. Aver soltanto visitato un sito non dimostra, da solo, che il telefono sia stato compromesso. Non bisogna però proseguire con download, concessioni di permessi o inserimento di informazioni.

Se abbiamo digitato una password, dobbiamo cambiarla subito dal servizio autentico, intervenendo anche sugli altri account dove fosse stata riutilizzata. Se abbiamo comunicato dati della carta o autorizzato un pagamento sospetto, occorre contattare immediatamente la banca attraverso i canali ufficiali, chiedendo come mettere in sicurezza lo strumento di pagamento e segnalare l’operazione.

Se invece abbiamo installato un’applicazione sospetta o concesso autorizzazioni estese, è opportuno chiedere assistenza tecnica e utilizzare un altro dispositivo affidabile per mettere in sicurezza gli account. Messaggi, indirizzi, ricevute e schermate possono essere conservati come elementi utili per una segnalazione o una denuncia, evitando di diffondere pubblicamente dati personali.

La prudenza non deve trasformarsi nella rinuncia a ogni servizio digitale. I QR code hanno molti impieghi legittimi e utili. Non esiste però un controllo visivo capace di certificarli tutti: la protezione nasce dall’attenzione al contesto e dalla possibilità di verificare altrove le richieste importanti. Qualche secondo in più prima di procedere può evitare conseguenze molto più lunghe da risolvere.

______________________________________________

GEO: Alessandria, Piemonte, Italia. La prevenzione delle truffe tramite QR code riguarda cittadini, attività commerciali, visitatori e utenti dei servizi digitali. Controllare la destinazione dei collegamenti e verificare richieste di pagamento attraverso canali ufficiali sono precauzioni utili sul territorio e durante gli spostamenti.

Fonti e approfondimenti

Polizia di Stato: i consigli per evitare il quishing. questure.poliziadistato.it

Banca d’Italia: attenzione alle truffe tramite QR code. L'economia per tutti

Canadian Centre for Cyber Security: sicurezza e QR code. Canadian Centre for Cyber Security

FTC: controlli e interventi dopo un QR code sospetto. consumer.ftc.gov

Stop! Think Fraud: perché il lucchetto non garantisce l’autenticità di un sito. stopthinkfraud.campaign.gov.uk

Seguiteci su: Alessandria Post