Un adesivo applicato sopra il QR code di un parchimetro può bastare a cambiare la destinazione del collegamento. Chi lo inquadra pensando di accedere al servizio finisce invece su una pagina preparata per sottrargli dati o indurlo a pagare. La truffa si chiama quishing, una variante del phishing che sfrutta i codici QR. Può comparire anche su volantini, nei messaggi o nelle e-mail.
La pagina che si apre può somigliare a quella di un ente o di un’azienda: ne riprende il nome, i colori e il logo, poi chiede credenziali, dati della carta o una conferma di pagamento. Per questo la verifica decisiva riguarda l’indirizzo web e non l’aspetto del sito. Occorre controllare che il dominio sia quello ufficiale e fare attenzione a lettere aggiunte, errori e indirizzi abbreviati. Anche «https» e il lucchetto, da soli, non provano che la pagina sia autentica.
Nei luoghi pubblici conviene guardare il codice prima di inquadrarlo: un adesivo sovrapposto all’originale è un segnale di possibile manomissione. Se il collegamento suscita dubbi, meglio chiudere la pagina e accedere al servizio dalla sua applicazione ufficiale o digitando direttamente l’indirizzo conosciuto. Prima di autorizzare una transazione vanno controllati destinatario, importo e causale. Nessuna richiesta inattesa deve spingere a comunicare password o codici OTP, né a scaricare file e applicazioni dal sito appena aperto.
Scansionare un QR code sospetto non significa necessariamente essere stati truffati. Se però sono già stati inseriti dati bancari o autorizzato un pagamento, occorre contattare subito la propria banca tramite i canali ufficiali. L’accaduto può essere denunciato alla Polizia postale.