I QR code sono sicuri?
Cosa può e non può fare un QR code al tuo telefono, come funziona il phishing con i QR e le poche abitudini che rendono una scansione sicura quanto toccare un link che puoi leggere.
Risposta breveUn QR code è sicuro quanto il link che contiene. La scansione da sola non può installare niente né prendere il controllo del telefono, ma il codice può portarti a una pagina di phishing o a un download dannoso, e non puoi vedere l’indirizzo finché non viene decodificato: per questo leggi l’anteprima del link prima di toccarla.
Un QR code è un link che non puoi leggere
La maggior parte dei QR code contiene un indirizzo web e nient’altro. Il telefono decodifica il disegno, ti mostra l’indirizzo e lo apre nel browser solo quando tocchi. In questo senso un codice non è più pericoloso di un link in un’email. Vedi come funzionano i QR code per sapere cosa c’è dentro il disegno.
La differenza è che un link stampato si legge e un codice no. Puoi dare un’occhiata a un link e notare un dominio scritto male; a un QR code puoi dare tutte le occhiate che vuoi senza notare niente. Il rischio è tutto qui, ed è per questo che i truffatori li usano.
| Da solo, un codice… | Ma può portarti a… |
|---|---|
| Non può installare un’app | Una pagina che ti chiede di installarne una |
| Non può leggere file, contatti o foto | Un modulo che ti chiede di scrivere i tuoi dati personali |
| Non può riscuotere un pagamento | Una finta pagina di pagamento identica a una vera |
| Non può conoscere le tue password | Una copia di una pagina di accesso che le cattura |
| Non può cambiare le impostazioni del telefono | Istruzioni o un file che ti spingono a cambiarle |
Alcuni codici contengono altro: dati di una rete Wi-Fi, una scheda contatto, un messaggio già scritto. Il telefono chiede comunque conferma prima di connettersi, salvare o inviare, quindi leggi quella richiesta con la stessa attenzione dell’anteprima di un link.
Come funzionano le truffe con i QR code
Il phishing con i QR code, a volte chiamato quishing, è il solito phishing con il link nascosto in un codice. Gli schemi che si ripetono sono questi.
- Adesivi sopra i codici veri. Un codice falso viene incollato sopra quello autentico su un parchimetro, un cartello di pagamento di un parcheggio, una colonnina di ricarica o il tavolo di un ristorante. Porta a una pagina di pagamento che copia quella del vero gestore.
- Codici nelle email. Un messaggio «dall’ufficio IT», da una banca o da un servizio di condivisione documenti ti chiede di inquadrare un codice per accedere o riconfermare un account. Un codice in un’immagine è più difficile da analizzare per i filtri di posta rispetto a un link scritto, e ti sposta sul telefono, dove la barra degli indirizzi è piccola.
- Falsi avvisi di consegna e multe. Un biglietto nella cassetta o sotto il tergicristallo dice che c’è un pacco in attesa o una somma da pagare, e offre un codice per pagare o riprogrammare.
- Codici che spingono a scaricare. La pagina dice che serve un’app per vedere un menu, un documento o una sosta, e rimanda a un file fuori dallo store ufficiale.
Il filo comune è l’urgenza unita a una richiesta di soldi, di una password o di un’installazione. Un vero codice per un menu o per informazioni raramente ha bisogno di una di queste cose.
Come controllare un codice prima di toccare
- Inquadra, poi fermati all’anteprima del link. Non toccare ancora.
- Leggi il dominio, cioè la parte prima della prima barra singola. Appartiene all’ente di cui stai guardando il cartello o la lettera?
- Cerca le somiglianze ingannevoli: parole in più, lettere scambiate, estensioni insolite o un servizio di link brevi che nasconde la destinazione vera.
- Guarda il codice stesso. È un adesivo sopra un cartello stampato? I bordi si stanno staccando, o è leggermente fuori centro?
- Se la pagina chiede una password, il numero della carta o di installare un’app, chiudila e vai tu sul sito o sull’app ufficiale dell’ente.
Se hai già inserito i dati della carta in una pagina di cui ora dubiti, contatta subito la tua banca. Se hai inserito una password, cambiala sul sito vero e ovunque l’abbia usata. Come scansionare un QR code mostra dove compare l’anteprima su iPhone e Android.
Se metti dei QR code davanti ai tuoi clienti
Un’attività non può impedire a qualcuno di incollare un codice falso sul suo cartello, ma può rendere evidente quello falso e affidabile quello vero.
- Stampa il dominio accanto al codice. «Inquadra o visita esempio.it/paga» permette ai clienti di confrontare l’anteprima con qualcosa che hai stampato tu.
- Stampa il codice direttamente nel cartello, invece di applicarlo come adesivo, così un sostituto incollato sopra si nota. Controlla regolarmente i cartelli nei luoghi pubblici.
- Metti i codici dove il personale può vederli, o dietro un vetro, invece che su pali incustoditi.
- Collega il tuo dominio. Un codice che apre un dominio di reindirizzamento di terzi sembra in tutto e per tutto una truffa agli occhi di un cliente attento. Un codice statico punta dritto al tuo indirizzo: vedi QR code statico o dinamico.
- Non chiedere mai password o dati di pagamento in una pagina a cui i clienti arrivano da un codice senza un dominio familiare e ben visibile.
I codici creati su questo sito contengono esattamente ciò che scrivi, senza reindirizzamenti nel mezzo, e niente di ciò che inserisci viene inviato a un server. Per i link, il generatore accetta solo indirizzi web http:// e https://.
Crea un codice che punta dritto al tuo dominio:Genera un QR code
Domande correlate
La scansione da sola non installa niente e non dà accesso al telefono. Il rischio è la pagina che il codice apre, che potrebbe chiederti una password, un pagamento o un download. Leggi l’anteprima del link e non toccarla se qualcosa non torna.
Il quishing è phishing che usa un QR code al posto di un link visibile. Il codice porta a una finta pagina di accesso o di pagamento, e siccome l’indirizzo resta nascosto fino alla scansione, è più facile non accorgersi che il sito non è autentico.
Controlla l’indirizzo nell’anteprima della scansione prima di aprirlo, e verifica che il dominio appartenga all’ente che ti aspetti. Diffida degli adesivi sopra i cartelli e di qualsiasi pagina che chieda password, dati della carta o di installare un’app.
Può esserlo, ma parchimetri e cartelli di pagamento sono bersagli frequenti di adesivi falsi. Controlla che il codice sia stampato nel cartello e che l’anteprima mostri il vero dominio del gestore, oppure usa l’app ufficiale del gestore.
Con cautela, soprattutto se l’email ti chiede di accedere, verificare un account o pagare. Vai direttamente sul sito dell’ente invece di inquadrare un codice che ti hanno mandato.