Truffe con i QR code: cosa dice la ricerca

In breve

• Stampa codici che aprono un indirizzo che i tuoi clienti riconoscono, meglio se il tuo sito web.
• Stampa i codici sulla superficie, non su adesivi, e controlla che su quelli pubblici non ci siano adesivi sopra.
• Prima di aprire un codice scansionato, leggi l'indirizzo che mostra la fotocamera.

Le email con QR code hanno ingannato quanto i link

Il phishing usa messaggi falsi che mandano le persone su un sito web falso. Il phishing con QR code, o quishing, fa lo stesso con un QR code al posto di un link.

Nel 2025 un gruppo dell'Università del Liechtenstein guidato da Marie Weinz ha testato il phishing in organizzazioni reali, dalle piccole imprese a una multinazionale. Ha inviato più di 71.000 email di prova. Alcune contenevano un normale link, altre un QR code.

Le email con QR code hanno portato le persone alla pagina falsa più o meno quanto le email con link. Gli autori notano che le email con QR code sono anche più difficili da intercettare per i filtri, perché l'indirizzo è dentro un'immagine. Lo studio è stato presentato alla conferenza sulla sicurezza AsiaCCS 2025.

Due studi precedenti vanno nella stessa direzione. Nel 2022 Sharevski e colleghi hanno fatto scansionare a 173 persone un falso QR code per un certificato COVID-19. Il 67% era disposto a registrarsi con il proprio account Google o Facebook, e la comodità è stato il motivo indicato più spesso. Nel 2024 Geisler, Pöhn e Hommel hanno affisso falsi manifesti di un sondaggio in un campus di ricerca tedesco. Un manifesto più professionale che offriva anche un premio è stato scansionato quasi tre volte più spesso di uno semplice.

Se stampi QR code

Le persone possono controllare un indirizzo che riconoscono. Il tuo sito web è il più facile da riconoscere.

• Mostra il tuo indirizzo quando puoi. Un codice statico apre direttamente il tuo indirizzo web. Con QR Lasts Pro anche i codici dinamici possono usare il tuo dominio.
• Stampa sulla superficie. Un codice stampato su un cartello è più difficile da coprire di un adesivo.
• Controlla i codici nei luoghi pubblici. Su tavoli, manifesti e porte, guarda ogni tanto se c'è un adesivo sopra il tuo codice.
• Scrivi dove porta il codice. Una riga sotto il codice come «Apre tuonegozio.com/menu» permette alle persone di controllare prima di aprirlo.

Come controllare un codice prima di aprirlo

1. Leggi prima l'indirizzo. La maggior parte delle app della fotocamera lo mostra prima di aprirlo.
2. Trova il nome del sito. Leggi l'indirizzo fino alla prima / singola, poi guarda le ultime due parti. In parking-city.example.com.pay-now.ru/pay il sito è pay-now.ru. Per indirizzi che finiscono in .co.uk e simili, guarda le ultime tre parti.
3. Fai attenzione ai codici che chiedono di accedere o di pagare. I servizi di parcheggio, le banche e i corrieri di solito ti fanno pagare nella loro app o sul loro sito, che puoi aprire da solo.
4. Tocca per sentire se ci sono adesivi su parchimetri e manifesti prima di scansionare.
5. Non scansionare codici in email che non aspettavi. Vai invece direttamente al servizio.

Come ti aiuta QR Lasts

I codici statici aprono il tuo indirizzo, senza nulla nel mezzo. Ogni codice creato qui, gratuito o a pagamento, continua a reindirizzare. L'unico motivo per cui ne fermiamo uno è l'abuso, come una destinazione che Google Web Risk segnala come phishing o malware.

Fonti

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Se abbiamo interpretato male uno studio, diccelo e lo correggeremo.