Cos'è il quishing, la truffa che si nasconde in un codice QR

Un adesivo con un QR falso sopra un parchimetro, una multa finta con lo sconto se paghi subito: il quishing usa il codice che scansioni al posto del link, ed è più difficile da riconoscere.

Perché conta

Il quishing aggira le difese a cui siamo abituati (controllare un link prima di cliccarlo) perché un QR code si legge solo dopo averlo scansionato: saperlo riconoscere prima di quel momento è l'unica vera protezione.

In pratica

Prima di scansionare un QR in strada o su una lettera inaspettata, controlla se sembra attaccato sopra qualcos'altro, e dopo la scansione leggi per intero l'indirizzo che appare prima di aprirlo.

Il quishing nasce dalla fusione di due parole: QR code e phishing. Funziona come il phishing tradizionale (l'email o l'sms che finge di essere la tua banca), ma invece di un link da cliccare usa un codice QR da scansionare con la fotocamera del telefono. È più insidioso per un motivo semplice: un codice QR non si legge a occhio come un indirizzo internet. Non puoi controllare dove porta finché non lo scansioni, e spesso capita mentre stai per pagare qualcosa, per strada, nel momento in cui sei meno attento.

Gli scenari più comuni, secondo la guida di Altroconsumo: una multa finta lasciata sul parabrezza, con un QR che promette uno sconto se paghi subito; un adesivo con un QR falso incollato sopra quello vero di un parchimetro o di una colonnina di ricarica; un menu digitale al ristorante con un QR contraffatto che chiede un pagamento anticipato; un volantino con un premio da riscattare, o un pacco mai ordinato con un QR «in caso di problemi»; un'email che dice che il conto è bloccato, con il QR al posto del link (un modo anche per superare i filtri antispam, che leggono male le immagini). Secondo l'azienda di sicurezza ESET, nella prima metà del 2026 i QR malevoli erano presenti in almeno l'11% delle email di phishing analizzate.

La sola scansione, di solito, non installa nulla da sola. Il rischio arriva dopo: una pagina di accesso identica a quella vera che ruba le tue credenziali, un pagamento o un abbonamento svantaggioso, o il download di un file dannoso (su Android, spesso un .apk mascherato da app utile).

Come riconoscerlo

Guarda prima di scansionare: se l'adesivo con il QR sembra attaccato sopra un supporto già esistente, è un segnale classico di manomissione. Diffida di chi ti metta fretta: multe, blocchi del conto o pacchi «da sbloccare subito» sono il linguaggio tipico della truffa. Dopo la scansione, molti telefoni mostrano un'anteprima dell'indirizzo prima di aprirlo: leggila per intero, cercando nomi quasi giusti ma con un dominio diverso da quello ufficiale (un «.net» al posto di un «.it», per esempio).

Se hai già scansionato

Se hai scansionato un QR sospetto e hai già inserito dati o scaricato qualcosa, non inserire altre password o numeri di carta su quella pagina, controlla subito l'app della tua banca per movimenti che non riconosci (alcuni truffatori riescono a intercettare anche i codici OTP via sms) e segnala il caso: Altroconsumo gestisce una piattaforma dedicata, nell'ambito del progetto Digitalizzati, finanziato dal Ministero delle Imprese e del Made in Italy.