Truffa QR code: il quishing che svuota il conto
Ammetto di essere diventato pigro: inquadro il QR code per il menu al ristorante, per pagare il parcometro, per la ricarica dell’auto. Comodo, vero? Peccato che proprio su questa pigrizia si sia costruita la truffa QR code del momento, il cosiddetto quishing. Basta un QR code falso incollato sopra quello vero e il gioco è fatto. Ma come si riconosce un QR code manomesso su un parcometro prima di lasciarci la carta?
Se ti va ricordati che puoi offrirmi un caffè grazie a Buy me a coffee!
In breve: la truffa QR code, o quishing, è un phishing che sostituisce un QR code legittimo con uno falso su parcometri, colonnine, menu o finte multe. Si riconosce dall’adesivo incollato sopra l’originale, dall’indirizzo web sospetto in anteprima e dalla richiesta urgente della carta. Se lo trovate, non scansionate: digitate voi l’indirizzo ufficiale.
Che cos'è il quishing
Il quishing è la truffa QR code che unisce due parole: QR code e phishing. Invece del solito link via SMS, vi ritrovate un codice da inquadrare che porta dritto a un sito clone. Come spiega Altroconsumo, quel codice reindirizza la vittima verso pagine costruite apposta per rubare dati e denaro, tanto che pure la Polizia Postale gli ha dedicato un avviso specifico. Funziona così bene perché un QR code non ha grammatica sbagliata né un mittente strano: è solo un quadratino nero, e noi lo inquadriamo senza pensarci.
Ti potrebbero interessare questi articoli
Dove si nasconde un QR code falso: parcheggi, colonnine e menu
Un QR code falso spunta ovunque paghiate con lo smartphone, ma i truffatori hanno i loro posti preferiti.
QR code parcheggio: il bersaglio preferito
Il QR code parcheggio è il caso più diffuso, perché tutti prima o poi paghiamo la sosta di fretta. Sul parcometro il codice contraffatto è un adesivo incollato sopra quello vero, che vi porta a un finto portale con magari una falsa multa pagoPA, come segnala Cybersecurity360. Stessa storia alle colonnine di ricarica delle auto elettriche, tanto che persino Enel ha messo in guardia dai codici fasulli. Aggiungete i menu dei ristoranti e i pacchi mai ordinati con dentro un QR code, e il quadro è chiaro: la truffa del codice QR punta sempre ai dati della vostra carta.
Come funziona la truffa QR code passo per passo
La truffa QR code segue sempre lo stesso copione, niente di nuovo sotto il sole. Inquadrate il codice, atterrate su un sito identico a quello ufficiale e inserite la carta per pagare la sosta: peccato che la stiate consegnando ai truffatori. Il dettaglio più insidioso? Molti di questi siti mostrano il lucchetto e il famoso “https”, quindi il vecchio consiglio non basta più. Come ricorda pure Kaspersky, quel protocollo certifica solo che la connessione è cifrata, non che dall’altra parte ci sia gente onesta.
Come riconoscere e difendersi dal quishing
Difendersi dal quishing è più facile di quanto sembri e si riduce a una regola aurea: non fidatevi mai di un QR code fisico piazzato in un luogo pubblico. Per pagare sosta o ricarica, usate l’app ufficiale del gestore oppure digitate voi l’indirizzo nel browser, senza scansionare nulla. Prima di aprire qualsiasi codice, poi, tenete a mente tre controlli:
- L’adesivo: se il QR code è incollato sopra un altro, è quasi certamente un QR code manomesso.
- L’anteprima dell’URL: se l’indirizzo non è il sito ufficiale del comune o del gestore, fermatevi.
- La fretta e la carta: nessun parcheggio vero vi mette un timer o vi chiede dati eccessivi, come spiego nel metodo SCUDO.
Nel dubbio, controllate dove porta davvero il codice con uno strumento come URLVoid. In fondo il quishing è solo l’ennesima faccia del phishing.
Domande frequenti sulla truffa QR code
Il quishing è una truffa QR code che combina QR code e phishing: un codice vi porta a un sito falso, dove i vostri dati personali o bancari finiscono nelle mani sbagliate.
Controllate se il QR code parcometro è un adesivo incollato sopra l’originale e guardate l’anteprima dell’URL. Se non è il sito ufficiale del comune o del gestore della sosta, non proseguite.
Di solito no: il rischio nasce quando aprite il link e inserite dati oppure autorizzate un pagamento. Per questo la vera difesa è non digitare mai le credenziali su una pagina raggiunta tramite QR code.
E voi?
Vi era già capitato di sentire parlare di quishing? Avete mai notato un adesivo sospetto su un parcometro o su una colonnina? Conoscete qualcuno che ci è cascato inquadrando un QR code falso? Raccontatemelo nei commenti e condividete questo articolo con chi paga parcheggi e ricariche con lo smartphone: potrebbe evitargli una brutta sorpresa. Come sempre vi ricordo la mia mailing list e il canale Telegram. Ci vediamo alla prossima truffa, cascasse il mondo!
