La truffa del momento è il "Quishing": il QR code che ti svuota il conto

Il gesto è ormai automatico: scendi dall’auto, tiri fuori lo smartphone, inquadri il quadratino bianco e nero sul parcometro e paghi la sosta. Veloce, comodo, senza monete. Ed è proprio su questa abitudine da “pilota automatico” che si è abbattuta l’ultima frontiera dei ladri di dati. Si chiama quishing, dalla fusione di “QR code” e “phishing”, e il primo grande allarme in Italia è arrivato da Pesaro, dove i parcometri cittadini sono stati “infestati” da adesivi pirata.

Come funziona l’inganno

Il meccanismo è di una semplicità disarmante, ed è proprio questo a renderlo micidiale. Il truffatore stampa un adesivo con un QR code falso e lo incolla sopra quello autentico del parcometro. Quando l’automobilista lo scansiona, non finisce sul portale del Comune, ma su una pagina clone, graficamente identica a quella ufficiale. Convinto di pagare la sosta, digita il numero della carta, la scadenza, il codice di sicurezza e magari qualche dato personale “per ricevere la ricevuta”. In pochi secondi quelle informazioni finiscono nei server dei criminali, pronte per essere usate o rivendute. Il paradosso? La sosta non risulta pagata: al danno si aggiunge la beffa della multa sul parabrezza.

Perché ci casca anche chi è attento

Il quishing è pericoloso perché fa una cosa nuova: prende la truffa online e la porta nel mondo fisico. Siamo diventati diffidenti verso le email sospette e gli SMS strani, ma un adesivo su un oggetto pubblico, in strada, lo percepiamo come reale e affidabile. È come fidarsi di un cartello stradale: non ci passa per la mente che qualcuno possa averlo falsificato e appeso al posto di quello vero.

C’è poi una differenza sottile ma decisiva rispetto al phishing classico. Un SMS truffaldino ci interrompe, e la prima reazione oggi è spesso il fastidio o il sospetto. Il QR code, al contrario, lo cerchiamo noi: siamo noi ad avvicinare il telefono, con l’atteggiamento di chi vuole solo sbrigare in fretta una piccola incombenza. La guardia è abbassata in partenza. A questo si aggiunge la digitalizzazione rapidissima dei servizi comunali degli ultimi anni, che ha messo il QR ovunque lasciando però molti cittadini impreparati a valutarne l’autenticità.

Non è un caso che l’allarme cresca proprio d’estate. Nei mesi delle vacanze le occasioni di scansione si moltiplicano: parcheggi a pagamento nelle località turistiche, colonnine di ricarica lungo i viaggi, menù digitali sui tavoli dei ristoranti affollati. Più codici inquadriamo, in luoghi che non conosciamo e spesso di fretta, più aumentano le probabilità di incappare in un’esca. I truffatori lo sanno, e scelgono il momento e i luoghi con precisione chirurgica.

Non solo parcometri

Sarebbe un errore pensare che il fenomeno riguardi solo la sosta. Ovunque ci sia un QR da inquadrare, un adesivo pirata può essere incollato sopra quello legittimo:

• Ristoranti e locali: un finto adesivo “menù” o “prenota qui” sul tavolo può aprire una pagina che chiede i dati della carta o installa un programma malevolo.

• Finte multe sul parabrezza: un verbale fasullo con un QR che promette uno sconto se si paga subito, facendo leva sulla fretta e sul timore.

• Colonnine di ricarica, biglietterie, bancomat: qualunque punto di pagamento con QR può essere manomesso.

• SMS, email e volantini: messaggi tipo “verifica la tua spedizione” con QR che portano a siti clone di banche o corrieri; oppure falsi download di app che, una volta installate, consegnano il controllo del telefono al truffatore.

Che fine fanno i tuoi dati

Molti pensano che il danno si esaurisca nella singola sosta non pagata. È il contrario: quella è solo la porta d’ingresso. I dati della carta finiscono in mercati clandestini dove vengono venduti e rivenduti, usati per acquisti fraudolenti online o per “clonare” la carta. Le credenziali di banche, Poste o social raccolte da una pagina clone aprono la strada al furto d’identità. E il malware eventualmente installato può restare silente per mesi, spiando password e messaggi. Come per molte frodi digitali, l’attacco è spesso solo il primo anello di una catena più lunga, e il conto può arrivare molto tempo dopo, quando ormai abbiamo dimenticato quel quadratino inquadrato in un giorno di vacanza.

LE 5 MOSSE PER NON CADERE NELLA TRAPPOLA

1. Tocca con mano.  Prima di inquadrare, passa un dito sul QR: se senti lo “scalino” di un adesivo applicato sopra, fermati.

2. Controlla l’indirizzo.  Dopo la scansione lo smartphone mostra l’anteprima dell’URL: diffida di domini strani o di estensioni insolite (.live, .app). Deve essere il sito ufficiale, con https.

3. Non pagare mai da un sito aperto via QR.  Meglio aprire a mano l’app ufficiale del gestore (EasyPark, Telepass, l’app del Comune) e pagare da lì.

4. Scarica app solo dagli store ufficiali.  Mai da un link ricevuto o inquadrato.

5. Se è successo, agisci subito.  Avvisa la banca per bloccare la carta e segnala alla Polizia Postale.

Non solo difesa individuale

La responsabilità non può ricadere tutta sul singolo cittadino. Comuni e aziende che gestiscono parcometri, colonnine e servizi con QR possono ridurre drasticamente il rischio: adottando codici a prova di manomissione (supporti che si danneggiano in modo evidente se qualcuno prova a coprirli), programmando controlli periodici sugli apparati, affiancando ai QR cartelli informativi che spiegano quale sia il canale ufficiale di pagamento. E c’è un gesto civico che vale per tutti: segnalare un tentativo di truffa (alla Polizia Postale o alle associazioni dei consumatori) non protegge solo noi, ma anche il prossimo che si troverà davanti allo stesso adesivo.

La tecnologia non è il nemico

Un chiarimento doveroso, per non demonizzare uno strumento utile: il QR code, di per sé, è sicuro. Lo sono i pagamenti fatti dentro l’app della propria banca, con PagoPA o con i circuiti ufficiali. Il rischio non è il quadratino, ma il luogo in cui finiamo per inserire i dati. Il QR è come una porta senza targa: non ti dice dove conduce finché non l’hai già aperta. Sta a noi, prima di varcarla, dare un’occhiata a chi c’è dall’altra parte.

E qui torna la regola che vale per quasi tutte le truffe digitali: la difesa migliore non è un software, è rallentare. Bastano pochi secondi di attenzione in più prima di puntare la fotocamera. Il bersaglio del truffatore, in fondo, non è il nostro telefono: è la nostra fretta. Togliergli quella è già metà della difesa.