La truffa del QR code: cos'è e come ci si difende

Un QR code, cioè il quadratino nero pieno di puntini, non può fare niente da solo: contiene soltanto del testo, quasi sempre l'indirizzo di un sito. Il pericolo non è inquadrarlo, è quello che succede dopo, quando la pagina che si apre chiede soldi o dati. La regola che protegge da tutte le versioni di questa truffa è una: guardare l'indirizzo che compare prima di toccarlo.

Negli ultimi anni questi codici sono finiti dappertutto, e con loro sono arrivate le versioni finte.

Cos'è davvero un QR code

È un modo di scrivere del testo in modo che una fotocamera lo legga in fretta. Dentro un quadratino ci può stare un indirizzo internet, un numero di telefono, il testo di un messaggio, i dati di un pagamento.

La cosa importante, e tranquillizzante, è che un QR code non è un programma. Non contiene virus, non installa niente, non esegue nulla. È una scritta, solo scritta in un modo che gli occhi umani non decifrano.

Quando lo inquadri, il telefono legge quella scritta e ti mostra cosa ha trovato. Su quasi tutti i telefoni di oggi compare una banda con l'indirizzo, e aspetta che tu la tocchi. Quel momento di attesa è la tua difesa, ed è per questo che vale la pena non toccare subito.

Dove si trovano i codici falsi

Sui parcometri. È la versione più diffusa. Un adesivo con un codice viene incollato sopra quello vero, o accanto, con la scritta «paga con il telefono». La pagina che si apre somiglia a un servizio di sosta, chiede la targa e il numero della carta, e la sosta non viene mai registrata. Il primo danno è la multa, il secondo sono i dati della carta.

Sulle colonnine di ricarica delle auto. Stesso schema, stesso adesivo, stesso finto pagamento.

Nelle lettere e nei volantini. Arrivano buste che sembrano di un ente o di una banca, con un codice da inquadrare «per verificare i dati». La carta dà un'impressione di ufficialità che uno schermo non dà, e funziona.

Sui tavoli dei locali. Dove i menù si leggono col telefono, capita che il codice venga sostituito.

La regola che vale sempre

Prima di toccare qualunque cosa, guarda l'indirizzo che il telefono mostra dopo l'inquadratura.

Il nome vero di un sito è l'ultima parte prima della prima barra. In «parcheggi-facile.info/paga» il nome vero è «parcheggi-facile.info». In «sosta.comune-di-verona.it/paga» il nome vero è «comune-di-verona.it». La differenza fra un indirizzo vero e uno falso sta quasi sempre lì, e non nel resto della scritta, che chiunque può inventare.

Se l'indirizzo non dice niente, o è un nome mai sentito, non si tocca. Non c'è nessun costo nel rinunciare: il parcometro accetta ancora le monete, e la banca ha la sua applicazione.

I codici veri che si incontrano ogni giorno

Vale la pena dire anche il contrario, perché una diffidenza totale non è utile a nessuno.

Il codice sul bollettino PagoPA è vero e comodo: si inquadra dall'applicazione della propria banca o dall'app IO, compaiono già l'importo e il destinatario, e non si scrive niente a mano. Proprio perché non si scrive niente, non si sbaglia niente.

Anche il codice sulla tessera sanitaria, quello del certificato di un medico, quello sul retro di un libretto sono codici veri che fanno risparmiare tempo.

La differenza fra quelli e i falsi non è il quadratino: è da dove arriva. Un codice stampato dentro un documento ufficiale che hai ricevuto per posta dal tuo Comune è un'altra cosa rispetto a un adesivo appiccicato su un palo.

Come si controlla un codice sospetto

Ci sono tre gesti semplici, e si fanno in pochi secondi.

Guarda l'adesivo. Un codice incollato sopra a un altro, storto, con i bordi sollevati, non è mai del gestore. I codici veri sono stampati sul corpo della macchina o inseriti sotto una plastica.

Leggi l'indirizzo, non toccarlo. Come sopra. Se il telefono non lo mostra, nelle impostazioni della fotocamera c'è quasi sempre la voce che chiede conferma prima di aprire.

Usa l'applicazione al posto del codice. Se esiste l'applicazione del servizio di sosta, o quella della banca, si apre quella e si cerca lì dentro. Il risultato è lo stesso, e la strada è sicura.

Se vuoi esercitarti sul riconoscimento degli indirizzi, il corso antitruffe ci dedica un pezzo intero, con pagine finte in cui si può sbagliare senza conseguenze.

Perché questa truffa cresce

Due ragioni pratiche, che aiutano a capire quanto durerà.

La prima è il costo. Stampare cinquanta adesivi costa pochi euro, e non serve nessuna competenza informatica: il lavoro difficile, cioè la pagina finta, si compra già fatto. È una truffa a basso investimento, e per questo si diffonde in fretta.

La seconda è l'abitudine. In pochi anni abbiamo imparato a inquadrare i quadratini per leggere un menù, per pagare, per aprire un modulo. Un gesto che facciamo senza pensarci è esattamente il terreno che serve a una truffa.

La buona notizia è che la difesa non richiede tecnologia: richiede due secondi di attesa prima di toccare.

La versione che arriva per posta

Merita un paragrafo suo perché è quella che convince di più le persone anziane, ed è la più recente.

Arriva una busta che sembra di una banca, di un ente o di una società di servizi. Dentro c'è una lettera scritta bene, con un logo, un numero di pratica e un quadratino da inquadrare per «verificare i dati» o «completare la procedura». Niente collegamenti scritti, niente indirizzi da leggere: solo il codice.

Funziona per un motivo preciso. Nella nostra testa la carta è più seria dello schermo: una lettera arriva da un indirizzo, costa un francobollo, sembra un atto. In realtà stampare e imbucare mille lettere costa poco, e chi lo fa sa che quella busta verrà aperta con attenzione.

La regola non cambia, e anzi qui è più facile applicarla: nessun ente serio ti chiede di verificare dati inquadrando un codice. Se la lettera cita la tua banca, si apre l'applicazione della banca. Se cita un ufficio pubblico, si guarda nell'app IO. Se cita una società di servizi, si chiama il numero stampato sulla bolletta vera, non quello della lettera.

Cosa fare se hai già pagato

Chiama subito la banca e chiedi il blocco della carta, con il numero stampato sulla carta stessa o dentro l'applicazione. Se il pagamento è stato fatto con una carta prepagata, il ragionamento non cambia.

Conserva una fotografia dell'adesivo, se sei ancora lì: serve alla denuncia e serve al gestore, che spesso non sa di avere un codice falso sui propri apparecchi.

Poi fai denuncia, anche per cifre piccole. E se il codice era su un parcometro, avvisa il Comune o la società che gestisce la sosta: quell'adesivo resterà lì a fregare altre persone finché qualcuno non lo toglie.

Sui passaggi da fare subito dopo una truffa abbiamo scritto una guida a parte: sono caduto in una truffa, cosa faccio.