I QR code sono sicuri? Come riconoscere quelli falsi

Inquadrare un QR code con la fotocamera del telefono in genere è sicuro: il telefono legge soltanto un testo. Il rischio è ciò a cui quel testo rimanda. Un codice falso può aprire una copia credibile del sito della banca, del parcheggio o di un corriere, chiederti di installare un'app o collegarti a una rete Wi-Fi che non conosci. La regola è semplice: leggi l'anteprima del link prima di toccarla, e non pagare né inserire password da un QR code che non ti aspettavi. Polizia Postale, FBI e la Federal Trade Commission statunitense danno lo stesso consiglio di fondo.

Cosa può andare storto davvero

Inquadrare un codice con la fotocamera di sistema, normalmente, legge solo un testo e ti mostra un'anteprima. Un codice può contenere un indirizzo web, i dati di una rete Wi-Fi, un biglietto da visita, un numero di telefono, un SMS precompilato o del semplice testo. Le truffe usano proprio questi contenuti:

Il phishing via QR code ha un nome: quishing. Funziona perché un QR code non si legge a occhio, e perché sposta il clic dal computer (dove filtri antispam e schermo grande aiutano) al telefono. La Polizia Postale fa notare anche che chiunque può creare un QR code con i tanti siti disponibili, e che il formato immagine rende più difficile agli antivirus accorgersi del pericolo.

Come controllare un QR code prima di aprirlo

Su iPhone (iOS 18 e iOS 26)

1. Apri Fotocamera, oppure apri il Centro di Controllo e tocca Scansiona codice (se manca, aggiungilo dalla galleria dei controlli).
2. Inquadra il QR code. Non toccare ancora.
3. Leggi il link che compare in basso. Guarda il dominio: la parte subito prima della prima barra singola, come example.com in https://paga.example.com/sosta.
4. Tocca solo se il dominio è esattamente quello che ti aspetti.

Su Android

1. Apri l'app Fotocamera (da Android 9 in poi, sulla maggior parte dei telefoni, legge i QR code in modalità foto) oppure Google Lens.
2. Inquadra il codice e aspetta il banner. Non toccare ancora.
3. Leggi il link nel banner. Se è troncato, Google Lens di solito mostra il testo completo prima di aprirlo.
4. Tocca solo se il dominio corrisponde a quello atteso.

Cosa guardare nel link

• Domini quasi uguali: una lettera cambiata o aggiunta (examp1e.com, example-parcheggi.com, example.com.paga-sosta.info). Nell'ultimo caso il dominio vero è paga-sosta.info.
• Link accorciati da servizi generici, che nascondono la destinazione. La Polizia Postale consiglia di diffidare degli URL abbreviati e di quelli diversi dal dominio ufficiale.
• Niente https su una pagina che chiede un pagamento o una password.
• Il download di un'app. L'FBI raccomanda di non installare mai un'app da un QR code: cercala tu su App Store o Google Play.

Adesivi falsi su parcometri e pagamenti

La truffa fisica più diffusa è un adesivo incollato sopra il codice vero di un parcometro, di una colonnina di ricarica, di un monopattino in sharing o di una locandina. Negli Stati Uniti la FTC ha rinnovato l'allarme sui parcometri a settembre 2026, e anche in Italia i giornali locali hanno raccontato casi simili.

1. Guarda il codice. Un adesivo in rilievo, storto, di un colore diverso o che copre parte della grafica stampata è un campanello d'allarme. L'FBI invita proprio a controllare che sopra l'originale non sia stato incollato un adesivo.
2. Preferisci l'app o il sito ufficiale. Digita tu l'indirizzo del gestore, o installa la sua app dallo store ufficiale. La Polizia Postale consiglia di evitare i pagamenti elettronici tramite QR code.
3. Diffida di chi accetta solo il QR code. La Polizia Postale ha segnalato false offerte di assicurazione auto pagabili solo così: "si paga solo col QR code" è un segnale d'allarme.
4. Segnala. Avvisa il gestore o la Polizia Locale, così l'adesivo viene rimosso.

QR code in email, SMS e lettere

I codici arrivano anche via email, SMS, su finti avvisi lasciati sul parabrezza e dentro pacchi mai ordinati. Le scuse tipiche: un pagamento non andato a buon fine, spese di spedizione, una multa, un avviso di sicurezza che chiede di "verificare l'account". La fretta è il segnale.

• Non inquadrare codici in messaggi che non aspettavi. Contatta l'azienda da un numero o un sito che sai essere autentico.
• Multe e pagamenti alla pubblica amministrazione: verifica l'importo direttamente sul sito ufficiale dell'ente. La Polizia Postale ha segnalato richieste di pagamento false che usano il nome di PagoPA.
• Il codice arriva da qualcuno che conosci? Chiedi conferma a quella persona con un numero o un indirizzo che hai già.

QR code del Wi-Fi

Un QR code del Wi-Fi contiene nome della rete, tipo di protezione e password. Su iPhone e Android, quando lo inquadri, il telefono mostra il nome della rete e chiede se vuoi collegarti.

• A casa o in un locale di cui ti fidi è un modo comodo per condividere la password: ecco come creare un QR code del Wi-Fi.
• In un luogo pubblico, un codice attaccato al muro può collegarti a una rete gestita da qualcun altro. Quella rete vede quali siti visiti (non il contenuto delle pagine https) e può mostrarti finte pagine di accesso. Chiedi al personale il nome ufficiale della rete ed evita password e pagamenti su un Wi-Fi pubblico che non puoi verificare.

Non installare app per leggere i QR code

La fotocamera del telefono legge già i QR code. L'FBI sconsiglia di scaricare app apposite, che aggiungono rischi e spesso chiedono permessi che non servono.

Se hai già inquadrato un codice falso

1. Chiudi la pagina. Non rispondere e non inserire altro.
2. Password: cambia quella che hai inserito e quella di ogni account dove la riusavi. Attiva l'autenticazione a due fattori. Un verificatore di sicurezza delle password ti aiuta a sceglierne una robusta.
3. Dati della carta: chiama la banca per bloccarla e controlla i movimenti.
4. App installata: eliminala e controlla quali permessi aveva.
5. Denuncia: alla Polizia Postale, anche online su commissariatodips.it. Conserva screenshot e ricevute.

Prepara il telefono agli errori

Prima o poi capita a tutti di toccare un link sbagliato. Tieni aggiornati sistema e app, usa un codice di sblocco e l'autenticazione a due fattori, e conserva i file più delicati, come scansioni dei documenti e foto mediche, dove una sessione rubata o un telefono perso non li espongono. La guida su come proteggere le foto se ti rubano il telefono spiega le basi.

Dove entra sigil.

sigil. conserva foto e video in un vault cifrato sul telefono, protetto con cifratura a 256 bit e aperto solo da un segno disegnato su una griglia 5×5. Non c'è un account né un server, quindi non esiste una pagina di accesso di sigil. da imitare. Se un messaggio o un QR code ti chiede il segno o la frase di recupero di sigil., è una truffa: nessuno di sigil. te li chiederà mai, e nessuno può recuperare un vault al posto tuo.

Per mandare una foto a qualcuno, le strade sono in come condividere foto in modo privato. Devi creare un codice tuo? Il nostro generatore di QR code gratuito crea codici statici nel browser; leggi i QR code scadono? per capire perché conta.

In sintesi

Inquadrare un QR code è sicuro, seguirlo alla cieca no. Leggi il dominio nell'anteprima, non pagare e non inserire password da un codice che non aspettavi, controlla che non ci siano adesivi su parcometri e locandine, non installare app da un codice e, quando ci sono di mezzo soldi, usa l'app ufficiale o un indirizzo digitato da te.

Fonti

• Polizia Postale: Quishing, il furto di dati tramite QR code
• Polizia Postale: Il furto di dati tramite QR code
• Polizia Postale: QR code e truffe assicurative
• Polizia Postale: Richieste di pagamento falsamente riconducibili a PagoPA
• FBI IC3: Cybercriminals Tampering with QR Codes to Steal Victim Funds
• FTC: See a QR code parked somewhere? Don't scan it…yet!
• Supporto Apple: scansionare un codice QR con iPhone o iPad