)
Un QR code su un parcometro. Lo inquadri, apri la pagina e inserisci i dati per pagare la sosta. Un gesto che richiede pochi secondi e che, proprio per questo, difficilmente ci fermiamo a osservare.
Ma cosa succede se il codice che abbiamo inquadrato non è quello del gestore?
Non è soltanto un’ipotesi. A maggio 2026 il Comune di Riccione ha segnalato la presenza di QR code fraudolenti applicati come adesivi su alcuni parcometri. Il meccanismo è semplice: sfruttare un luogo e un’azione familiari per indirizzare le persone verso una pagina diversa da quella attesa.
La prima precauzione è fermarsi prima di inserire dati o pagare: controllare dove porta il collegamento e, se qualcosa non convince, raggiungere il servizio attraverso un canale ufficiale che conosciamo già.
Un quadrato non ci dice dove stiamo andando
Il QR code è un modo per aprire rapidamente un contenuto. Di per sé non ci dice se la destinazione sia affidabile.
Può portarci al menù di un ristorante, alla pagina di un museo o al servizio di pagamento di un parcheggio. Ma può anche aprire un sito che imita quello originale e chiede credenziali, dati della carta o altre informazioni.
Questa tecnica viene chiamata quishing: una forma di phishing che utilizza i QR code come punto di partenza. Il problema non è il codice in sé, ma la destinazione che nasconde e il contesto nel quale viene presentato.
Un logo riconoscibile, un cartello ben fatto o il fatto che il codice si trovi in un luogo pubblico non bastano da soli a dimostrarne l’autenticità. Anche un adesivo può essere stampato e applicato sopra un altro.
Cosa controllare prima di aprire o compilare la pagina
Quando inquadro un codice, cerco prima di tutto di capire se ciò che vedo è coerente con il contesto.
Un adesivo applicato sopra un altro codice, un supporto manomesso o un cartello improvvisato possono essere segnali per fermarsi. Non significano automaticamente che si tratti di una truffa: molti QR legittimi sono adesivi. Ma meritano una verifica in più.
Poi guardo il collegamento che il telefono propone, quando l’anteprima è disponibile. Il nome del sito corrisponde al servizio che mi aspetto? Ci sono parole aggiunte, caratteri insoliti o un dominio che non riconosco?
Bisogna fare attenzione anche alle somiglianze. Un indirizzo può contenere il nome di un’azienda e appartenere comunque a qualcun altro. Per esempio, in azienda.esempio-falso.it, il dominio da valutare è esempio-falso.it: la parola «azienda» all’inizio non dimostra che il sito appartenga a quell’azienda.
Anche il lucchetto o la presenza di https non garantiscono che il destinatario sia quello giusto. Indicano una connessione protetta, non l’onestà di chi gestisce il sito.
Se ho un dubbio, preferisco chiudere la pagina e cercare il servizio attraverso l’app ufficiale o un indirizzo già conosciuto. Per un parcometro posso verificare le istruzioni del gestore o usare un’altra modalità di pagamento disponibile. Per un menù posso chiedere direttamente al personale.
E se l’ho già inquadrato?
Inquadrare un codice e visualizzare un collegamento non equivale automaticamente ad aver consegnato i propri dati. La cosa importante è capire cosa è successo dopo.
Se la pagina è sospetta e non ho inserito nulla, la chiudo senza proseguire. Se invece ho comunicato i dati della carta, contatto subito la banca o l’emittente usando i recapiti ufficiali e seguo le indicazioni ricevute.
Se ho inserito una password, la cambio dal sito o dall’app ufficiale del servizio, non seguendo i link della pagina sospetta. Se la stessa password era usata altrove, intervengo anche sugli altri account. Se ho comunicato codici di accesso temporanei o autorizzato operazioni, avviso immediatamente il servizio interessato.
Se ho scaricato o installato qualcosa, interrompo l’utilizzo e chiedo assistenza a una persona o a un servizio competente prima di continuare a usare il dispositivo per operazioni sensibili.
Un codice sospetto trovato su un supporto pubblico può anche essere segnalato al gestore del luogo: potrebbe aiutare a evitare che altre persone lo utilizzino.
Anche le attività hanno una responsabilità
Chi espone un QR code non può controllare ogni gesto di chi lo utilizza. Può però rendere più semplice capire che cosa dovrebbe succedere dopo la scansione.
Per un’attività, partirei da alcune attenzioni concrete:
Indicare accanto al codice che cosa si aprirà: per esempio «Consulta il menù» o «Visita il nostro sito».
Mostrare, quando possibile, l’indirizzo ufficiale in forma leggibile, così chi preferisce può digitarlo direttamente.
Usare supporti riconoscibili e controllarli periodicamente, soprattutto se si trovano in luoghi accessibili al pubblico.
Verificare che il codice apra ancora la pagina corretta e che la pagina mostri chiaramente l’identità dell’attività.
Offrire un’alternativa a chi non vuole o non può usare il telefono.
Sono accorgimenti semplici, ma cambiano il rapporto con chi si trova davanti al codice. Non gli chiediamo soltanto di fidarsi: gli diamo qualche elemento in più per orientarsi.
Naturalmente nessuna di queste misure, da sola, elimina ogni rischio. Un dominio può essere imitato, un supporto può essere manomesso e anche una pagina apparentemente curata può ingannare. Per questo servono sia attenzione da parte di chi usa il servizio, sia controlli da parte di chi lo mette a disposizione.
La fiducia fa parte dell’esperienza digitale
In un precedente approfondimento ho parlato di come QR code e NFC possano ridurre la distanza tra un luogo fisico e ciò che una persona sta cercando online.
Riflettendo su casi come quello dei parcometri, aggiungerei un passaggio a quel ragionamento: non basta che il collegamento sia rapido. Deve anche essere riconoscibile e comprensibile per chi lo usa.
È un aspetto che considero parte della progettazione, soprattutto quando uno strumento digitale viene collocato davanti a clienti e visitatori. Un menù digitale, una pagina informativa o un punto di contatto possono essere molto utili; perché funzionino davvero, le persone devono poter capire dove stanno andando e sentirsi libere di verificare.
La prossima volta che incontri un QR code, non serve guardarlo con paura. Vale però la pena dedicargli qualche secondo in più.
La tecnologia può rendere più veloce un gesto. La fiducia nasce anche da ciò che ci permette di controllare.