Il vero pericolo dei codici QR: restare vigili

Probabilmente questo mese avete scansionato decine di codici QR senza pensarci due volte: al ristorante, al parchimetro, magari al terminale di pagamento alla cassa. Quella fiducia automatica è esattamente ciò che i truffatori stanno sfruttando in questo momento, e i numeri sono difficili da ignorare.

Il phishing tramite codici QR – meglio noto come quishing – è aumentato del 587% dal 2022 al 2023, e ha registrato un ulteriore balzo del 25% nel 2025, con oltre 26 milioni di americani già reindirizzati verso siti dannosi in questo modo. Ed ecco la parte scomoda: solo il 39% dei consumatori è in grado di individuare in modo affidabile i codici QR infetti prima che sia troppo tardi, il che significa che la stragrande maggioranza li scansiona alla cieca.

Quindi cosa sta succedendo realmente, come ci riescono gli hacker e cosa si può fare al riguardo? Analizziamo la situazione.

Cos'è il quishing e perché è così efficace

Il quishing (QR + phishing) è la pratica di nascondere link pericolosi all'interno dei codici QR per reindirizzare le persone verso siti web falsi, rubare credenziali o installare malware. Pensatelo come un classico hack dei codici QR, ma avvolto in un formato che l'occhio umano semplicemente non può decodificare.

Questo è il problema principale della sicurezza dei codici QR: a differenza di un normale link in un'e-mail su cui è possibile passare il mouse per visualizzare un'anteprima, un codice QR non rivela nulla finché il browser non ha già caricato la destinazione. Non c'è nessun dominio scritto male da individuare, nessun testo di ancoraggio sospetto da notare. Il pericolo dei codici QR è invisibile per definizione – ed è proprio questo che rende il quishing così efficace rispetto alle truffe tradizionali.

Questo è il motivo per cui i codici QR sono comparsi nel 22% di tutti gli attacchi di phishing nel 2024-2025. Essi aggirano la maggior parte dei filtri automatici delle e-mail perché gli strumenti di sicurezza non sono in grado di leggere l'URL codificato all'interno di un'immagine.

Si può essere hackerati scansionando un codice QR?

Comprendere il panorama completo delle minacce dei codici QR aiuta a riconoscere le minacce prima di diventare una vittima. Ecco i modelli di attacco più comuni nel 2025.

Il trucco dell'adesivo falso

Il metodo fisico più diffuso prevede l'uso di adesivi con codici QR falsi posizionati direttamente sopra i codici legittimi: su parchimetri, tavoli di ristoranti, cartelli di trasporto pubblico o espositori di negozi. Si pensa di aprire un link a una mappa o di pagare presso un terminale di pagamento. In realtà, i dati della carta vengono inviati direttamente al portale falso di un truffatore. Una rapida ispezione fisica, verificando se il codice è ben aderente o sembra sovrapposto, può evitare completamente questa situazione.

Quishing tramite e-mail e strumenti di Office

Poiché le persone in genere scansionano i codici QR con i loro telefoni, gli URL incorporati aggirano gli strumenti di sicurezza desktop come firewall e blocchi URL degli endpoint. Ciò rende l'hacking tramite codici QR via e-mail particolarmente efficace. Il messaggio sembra provenire da Microsoft, dalla tua banca o dal reparto IT della tua azienda, completo di loghi e formattazione professionale.

Un significativo 27% di questi attacchi di quishing utilizza falsi avvisi di autenticazione a più fattori: "La tua sessione è scaduta – scansiona per verificare nuovamente". Quell'urgenza è studiata per impedirti di pensarci due volte.

Codici QR nascosti nei documenti e nella posta cartacea

Questo è uno dei pericoli più sottovalutati della scansione dei codici QR: solo a metà del 2024 sono state rilevate mezzo milione di e-mail di phishing con codici QR incorporati in allegati PDF. Il documento sembra legittimo – una fattura, un estratto conto, un avviso di consegna – e il codice QR al suo interno sembra essere una comoda scorciatoia. La FTC ha inoltre segnalato un'impennata delle truffe tramite posta fisica, in cui link a malware con codici QR arrivano stampati su finte bollette o ricevute di pagamento.

Campagne di quishing basate sull'intelligenza artificiale

L'evoluzione più recente e preoccupante delle minacce alla sicurezza informatica legate al quishing riguarda le pagine di phishing generate dall'IA, che sono quasi indistinguibili da quelle reali. Gli aggressori possono ora creare in pochi minuti una pagina di prenotazione o di accesso a PayPal falsa ma convincente, su misura per un bersaglio specifico, con un branding realistico e un testo personalizzato. Ciò ha reso la prevenzione delle frodi tramite codici QR significativamente più difficile sia per gli individui che per le organizzazioni.

Ma la minaccia va ben oltre le pagine di accesso false. L'IA viene ora utilizzata in ogni fase della pipeline di attacco, dalla selezione del bersaglio alla consegna fino all'evasione.

Adescamento iper-personalizzato. Il phishing tradizionale si basava su esche generiche – "il tuo account è stato sospeso". Le campagne basate sull'IA attingono da dati disponibili pubblicamente: il tuo datore di lavoro, la tua città, i tuoi acquisti recenti. Il risultato è una truffa tramite codice QR che sembra scritta appositamente per te, perché in un certo senso lo è. Una fattura falsa da un fornitore che riconosci. Un avviso di "consegna mancata" che corrisponde al tuo indirizzo reale. È proprio quel livello di specificità a rendere il moderno quishing così difficile da smascherare a prima vista.
Rinforzo vocale e deepfake. Negli attacchi di maggior valore – che in genere prendono di mira i dipendenti della finanza o delle risorse umane – le chiamate vocali generate dall'IA o i messaggi video deepfake ora precedono il codice QR dannoso. La chiamata instaura un rapporto di fiducia ("Salve, sono l'assistenza IT – riceverà un codice di verifica a breve"), e il codice QR arriva pochi istanti dopo via e-mail o SMS. Quando il bersaglio lo scansiona, è già stato preparato a obbedire.
Infrastruttura automatizzata su larga scala. Ciò che un tempo richiedeva competenze tecniche per essere configurato – domini falsi, certificati SSL, siti web simili – ora può essere generato e ruotato automaticamente. Gli aggressori distribuiscono contemporaneamente centinaia di pagine di phishing di breve durata, passando da un dominio all'altro abbastanza velocemente da stare al passo con le liste di blocco. Questo è il motivo per cui gli strumenti di sicurezza tradizionali basati su URL faticano: quando un dominio viene segnalato, è già stato sostituito.
Evasione integrata nel design. I modelli di IA addestrati sui modelli di rilevamento della sicurezza possono ora generare codici QR e pagine di destinazione progettate specificamente per evitare di attivare i filtri. Imitano la struttura visiva delle pagine legittime con alta fedeltà: pesi dei caratteri corretti, campi dei moduli dall'aspetto autentico, messaggi di errore realistici quando vengono inserite credenziali errate (un trucco classico per raccogliere più tentativi di password).

L'implicazione pratica è chiara: gli indizi visivi e contestuali che un tempo aiutavano le persone a identificare una truffa stanno diventando inaffidabili. Lo scetticismo riguardo alla fonte – non solo all'aspetto – è ora il filtro più importante.

Chi è maggiormente preso di mira?

I rischi per la sicurezza dei codici QR non sono distribuiti in modo uniforme. Alcuni settori sono esposti a rischi notevolmente più elevati a causa della natura del loro utilizzo dei codici QR e del valore dei dati che gestiscono.

Settore	Perché è preso di mira	Vettore di attacco comune
Finanza e settore bancario	Credenziali di alto valore, dati di pagamento	Pagine di accesso false alle app bancarie, portali PayPal / Venmo contraffatti con raccolta di credenziali
Sanità	Dati sensibili dei pazienti, sistemi legacy	Moduli dei pazienti falsi inviati via e-mail, codici QR sui moduli cartacei di registrazione
Istruzione	Ampia base di utenti, scarsa consapevolezza in materia di sicurezza	Portali di accesso Wi-Fi falsi nel campus, codici QR nei materiali didattici in formato PDF
Vendita al dettaglio ed e-commerce	Elaborazione dei pagamenti, elevato traffico pedonale	Truffe con adesivi sui terminali di pagamento legittimi, codici di sconto o fedeltà falsi
Ristorazione e turismo	Elevato utilizzo dei codici QR, posizionamento in luoghi pubblici	Sostituzione dei QR dei menu con pagine di ordinazione fasulle, portali Wi-Fi fasulli nelle hall
Governo	Sfruttamento della fiducia pubblica	Moduli di permesso falsi, portali di pagamento delle tasse contraffatti che imitano i siti web ufficiali
Logistica	Urgenza nella consegna dei pacchi	URL di tracciamento falsi inviati via SMS, codici QR su bolle di consegna contraffatte
Immobili	Transazioni di alto valore	Pagine di annunci immobiliari false, moduli di firma di documenti fraudolenti, con furto di credenziali

I dipendenti del settore retail hanno il tasso di errore più alto nel rilevare attività dannose legate ai codici QR, mentre i settori finanziario, manifatturiero e sanitario sono costantemente tra i più presi di mira. In particolare, i problemi di sicurezza relativi ai codici QR nel settore sanitario comportano conseguenze particolarmente gravi: sono a rischio i dati dei pazienti, le credenziali assicurative e i sistemi interni.

Crea
codice QR adesso!

Inserisci il link del tuo codice QR, aggiungi il nome per il tuo QR, seleziona la categoria di contenuto e genera!

Genera codice QR

Come prevenire il quishing: best practice per la sicurezza dei codici QR

Ecco una guida pratica per stare al sicuro, che tu sia un utente privato, un imprenditore o responsabile di materiali di marketing che includono codici QR.

1. Visualizza sempre l'anteprima dell'URL prima di aprirlo

La maggior parte degli smartphone moderni mostra il link di destinazione subito dopo la scansione, prima che il browser carichi qualsiasi cosa. Questa abitudine di dieci secondi è alla base della sicurezza dei codici QR: non saltarla.

Quando controlli l'URL, presta attenzione a:

HTTPS vs HTTP: l'assenza di crittografia è un immediato campanello d'allarme;
Link abbreviati – bit.ly, tinyurl e servizi simili nascondono la vera destinazione;
Domini con errori ortografici – "paypa1.com" o "arnazon.com" sono trucchi classici;
Domini non correlati – il codice QR di un ristorante che rimanda a un dominio senza alcun collegamento con il locale;
Catene di reindirizzamento – più passaggi prima di raggiungere la pagina effettiva spesso segnalano un vettore di attacco tramite codice QR.

Utilizza un'app sicura per la scansione dei codici QR – non solo la fotocamera predefinita del tuo telefono. Un adeguato strumento di controllo della sicurezza dei codici QR segnalerà i domini noti come dannosi prima di aprire qualsiasi cosa, offrendoti un vero e proprio livello di protezione piuttosto che una semplice comodità.

2. Ispeziona fisicamente i codici QR negli spazi pubblici

Il rilevamento delle manomissioni è una preoccupazione reale nei luoghi ad alto traffico. Prima di scansionare qualsiasi cosa in pubblico, osserva attentamente: il codice è a filo con la superficie o sembra leggermente rialzato? I bordi sono puliti o sembra un adesivo applicato sopra qualcos'altro?

Questo è particolarmente importante presso i parchimetri, le stazioni di transito e ovunque sia coinvolta la sicurezza dei pagamenti tramite codice QR – proprio i luoghi che i truffatori prendono di mira maggiormente, poiché l'urgenza e la distrazione giocano a loro favore.

3. Non scansionare mai codici QR da e-mail inattese

È qui che il phishing tramite QR code fa più danni. Le aziende legittime – banche, fornitori di software, dipartimenti delle risorse umane – non ti chiedono di scansionare un codice QR per verificare la tua identità o reimpostare la tua password tramite e-mail. Se ricevi un messaggio del genere, vai direttamente al sito web ufficiale dell'azienda digitando l'indirizzo manualmente.

Non scansionare mai un codice QR da un'immagine o da un allegato PDF che non ti aspettavi, indipendentemente da quanto possa sembrare ufficiale. Questo vale anche per i messaggi inoltrati su WhatsApp e gli SMS: gli hacker che utilizzano i codici QR hanno ormai superato di gran lunga i confini delle e-mail.

4. Utilizza un apposito strumento di verifica della sicurezza dei codici QR

Non tutte le app di scansione offrono lo stesso livello di protezione. Una fotocamera di base si limita a leggere la sequenza di simboli, mentre uno scanner di codici QR più sicuro confronta attivamente l'URL di destinazione con i database delle minacce in tempo reale. Cerca app che offrano esplicitamente funzionalità di sicurezza per la lettura dei codici QR: anteprima dell'URL, rilevamento di malware e controlli sulla reputazione del dominio.

Verificare i codici QR prima di agire è l'abitudine più efficace che puoi sviluppare. Se un'app non ti mostra il link prima di aprirlo, trovane una che lo faccia.

5. I codici QR sono sicuri? Segnali di allarme da non ignorare

Fai attenzione a questi segnali di allarme indipendentemente dal contesto, che tu stia scansionando un codice QR per una pagina di social media, una rete Wi-Fi, un contatto vCard o un link di pagamento:

Linguaggio che incute timore o urgenza associato al codice ("Scansiona ora o perderai l'accesso");
Codici che arrivano tramite SMS, e-mail o messaggi WhatsApp non richiesti;
Codici QR da allegati PDF o immagini provenienti da mittenti sconosciuti;
Codici che ti chiedono di installare un'app sconosciuta dagli App Store;
Link di pagamento che passano attraverso più reindirizzamenti prima di arrivare alla cassa;
Qualsiasi codice che prometta l'accesso gratuito a Spotify, YouTube o a contenuti premium.

6. Hai già scansionato qualcosa di sospetto? Agisci immediatamente

Gli errori capitano: ecco come limitare i danni. Disconnettiti immediatamente dal Wi-Fi e dai dati mobili per interrompere la comunicazione con il server dell'autore dell'attacco. Esegui una scansione utilizzando un'app di sicurezza mobile affidabile. Modifica tutte le password inserite dopo la scansione, dando priorità agli account finanziari e di lavoro. Controlla la cronologia delle installazioni degli App Store per individuare eventuali elementi sconosciuti, revoca le autorizzazioni sconosciute e contatta immediatamente la tua banca se sono stati coinvolti dati di pagamento.

Per le aziende: garantire l'affidabilità dei codici QR

Se la tua organizzazione utilizza codici QR in di marketing campagne, flussi di e-commerce, annunci immobiliari, moduli di registrazione sanitari o menu di ristoranti, garantire la sicurezza dei codici QR fa parte della tua responsabilità nei confronti degli utenti.

Tra le misure di sicurezza efficaci per i codici QR aziendali figurano l'uso di codici personalizzati con il vostro logo e i colori del marchio (più difficili da falsificare in modo convincente), la comunicazione chiara agli utenti di ciò che dovrebbero aspettarsi di vedere dopo la scansione e l'ispezione regolare dei codici accessibili al pubblico per individuare eventuali segni di manomissione.

Oltre a ciò, è fondamentale la sicurezza del generatore di codici QR scelto. Un generatore di codici QR altamente sicuro controlla l'URL di destinazione al momento della creazione, bloccando link dannosi, spam e contenuti vietati prima ancora che il codice venga pubblicato. Me-QR fa esattamente questo: ogni codice QR dinamico generato tramite il servizio viene automaticamente controllato per verificare l'assenza di malware, contenuti di phishing e violazioni delle norme, in modo che né voi né i vostri clienti siate esposti a rischi di sicurezza legati ai codici QR attraverso i vostri stessi materiali.

Stai all'erta, scansiona con intelligenza

I pericoli legati all'uso dei codici QR non sono inerenti alla tecnologia stessa, ma risiedono nella destinazione del codice e nella vostra attenzione nel controllarlo. Rimanere al sicuro non significa evitare i codici QR, ma sapere cosa cercare prima di scansionarli.

Controlla l'URL. Esamina il codice fisico. Usa uno scanner di sicurezza per codici QR che esegua la verifica al posto tuo. I truffatori dietro questi attacchi ai codici QR contano sul fatto che le persone agiscano in modo automatico. E, statisticamente, hanno ragione: il 61% delle persone continua a scansionare senza controllare dove porta il codice. Quel numero rappresenta la vera vulnerabilità. Eliminala e avrai già fatto più della maggior parte delle persone.