Quishing: che cos’è il phishing tramite codice QR?
Con il phishing tramite codice QR, detto anche quishing, i cyber criminali attirano le vittime su siti web falsificati tramite un codice QR, con l’obiettivo di sottrarre dati di accesso o informazioni delle carte di credito oppure di diffondere software dannosi.
I truffatori collocano i codici QR fraudolenti in luoghi in cui normalmente ci si aspetta di trovarne uno.
Esempi tipici:
- distributori automatici di biglietti per il parcheggio
- parchimetri
- stazioni di ricarica per veicoli elettrici
- stazioni di rifornimento
- bancomat
- manifesti per la raccolta di donazioni
- vetrine
- ristoranti
- lettere o avvisi di ritiro postale nelle cassette delle lettere
Un’altra forma di truffa tramite codice QR consiste nel manipolare le fatture QR affinché la vittima versi l’importo su un conto errato, convinta di saldare un credito legittimo. Questa pratica è nota anche come «Diversion Theft» o «dirottamento fraudolento». A rigore, non si tratta di una forma di phishing, poiché non vengono sottratti dati.
Codici QR adesivi applicati sui parchimetri (luglio 2026): nella città di Zugo, i truffatori applicano codici QR fraudolenti sui parchimetri, accanto alla fessura per l’inserimento delle monete. I codici QR rimandano a una pagina di pagamento falsificata, molto simile a quella autentica, sulla quale vengono sottratti i dati di pagamento delle vittime.
Avvisi di ritiro postale falsificati (giugno 2026): nella Svizzera romanda, i truffatori depositano nelle cassette delle lettere falsi avvisi di ritiro a nome della Posta Svizzera. Il codice QR stampato sugli avvisi rimanda a un sito web falsificato della Posta. Sul sito vengono richiesti dati personali e, al momento del pagamento di una presunta commissione in sospeso di 2.10 franchi, vengono sottratti anche i dati della carta di credito.
Furto di account WhatsApp tramite codice QR (maggio 2026): le vittime ricevono un messaggio apparentemente inviato da un contatto conosciuto, che chiede di votare per il proprio figlio in un concorso. Seguendo il link al sito web fraudolento e inserendo un codice di verifica oppure scansionando un codice QR, si perde l’accesso al proprio account WhatsApp.
Codici QR nelle e-mail aziendali (dal 2025): i truffatori inviano, ad esempio a nome di Microsoft 365 o DocuSign, e-mail che invitano con urgenza a firmare un documento tramite una piattaforma come DocuSign. Il codice QR contenuto nel messaggio rimanda a portali di accesso falsificati di Microsoft 365, reti aziendali interne o fornitori di servizi finanziari.
E-mail con fatture falsificate e codici QR (agosto 2022): i truffatori inviano a nome di Sunrise e-mail dall’aspetto molto convincente, contenenti una fattura falsificata e un codice QR. Scansionando il codice QR o cliccando sul link, si viene reindirizzati a una pagina di pagamento falsificata.
Fattura QR falsificata (gennaio 2023): l’Ufficio federale della cibersicurezza (UFCS) mette in guardia dalle e-mail aziendali falsificate contenenti fatture QR manipolate. In queste e-mail, i truffatori comunicano alle potenziali vittime che il conto del beneficiario è cambiato.
Sempre al sicuro con la cyber assicurazione della Mobiliare
La cyber assicurazione della Mobiliare entra in gioco se si rimane vittima di phishing. Qui è possibile scoprire di più sulla cyber assicurazione, calcolare senza impegno il premio assicurativo e decidere in seguito in tutta tranquillità.
Come riconoscere il quishing e le truffe tramite codice QR e come proteggersi?
Quando si scansiona un codice QR con la fotocamera dello smartphone, viene innanzitutto visualizzato l’URL della pagina di destinazione. Prima di aprire la pagina, è importante verificare che l’URL corrisponda all’organizzazione dalla quale proviene il codice QR. Occorre prestare attenzione ai seguenti elementi.
- Il nome dell’organizzazione deve comparire all’inizio del link.
Nome dell’organizzazione: «Parkingpay»; corretto: «parkingpay.ch», falso: «parking-pay-zug.ch»
- Il nome dell’organizzazione deve essere scritto correttamente e trovarsi immediatamente prima dell’estensione del dominio.
Nome dell’organizzazione: «Posta Svizzera»; corretto: «post.ch», falso: «p0sta.ch», falso: «post-ch-pacchi.info»
- Il nome dell’organizzazione deve essere seguito dall’estensione del dominio «.ch», «.com» o «.swiss» (regola non sempre valida).
Estensioni di dominio frequenti nei siti web falsificati: «.top», «.xyz», «.cc», «.info», «.online» o «.net»
Non inserire dati di accesso o informazioni delle carte di credito su una pagina web aperta tramite un codice QR. Utilizzare invece l’app ufficiale dell’organizzazione oppure digitare direttamente l’indirizzo dell’organizzazione nel browser.
Scansionare i codici QR di Twint esclusivamente con l’app Twint. Questa precauzione è particolarmente importante quando un adesivo invita a scansionare un presunto codice QR di Twint con l’app della fotocamera. Non inserire mai i dati di accesso a Twint al di fuori dell’app Twint. Maggiori informazioni sulle truffe con Twint
Segnalare i codici QR fraudolenti presenti negli spazi pubblici alla polizia locale, quelli presenti negli spazi privati all’organizzazione responsabile e le e-mail di phishing all’Ufficio federale della cibersicurezza (UFCS).
Domande e risposte
1. Far bloccare immediatamente il servizio interessato.
A. Dati della carta di credito: far bloccare immediatamente la carta interessata chiamando il numero d’emergenza riportato sul retro.
B. Dati di accesso all’e-banking: far bloccare immediatamente il conto interessato chiamando la hotline dell’istituto finanziario.
C. Dati di accesso a Twint: far bloccare immediatamente l’account Twint chiamando la hotline della banca emittente di Twint.
Importante: è necessario informare telefonicamente l’istituto finanziario anche se si è già riusciti a bloccare la carta di credito, il conto e-banking o l’account Twint in altro modo. È importante che la banca venga informata il prima possibile dell’accaduto e di eventuali bonifici fraudolenti.
D. Software installato: interrompere immediatamente la connessione Internet del dispositivo. Rivolgersi a un servizio informatico specializzato per rimuovere il software dannoso dal dispositivo.
2. Segnalare l’accaduto all’Ufficio federale della cibersicurezza.
3. In caso di danno finanziario, denunciare il cyber reato alla polizia.
4. Se si dispone di una copertura assicurativa, annunciare il sinistro alla cyber assicurazione della Mobiliare.
Di norma, la semplice scansione di un codice QR di phishing è innocua. Il pericolo si presenta quando si inseriscono dati nella pagina di destinazione, si conferma un’operazione o si installa un software.
Se è già stata eseguita una di queste operazioni, occorre seguire i passaggi indicati nella risposta precedente. In caso contrario, è sufficiente chiudere la pagina senza inserire dati, confermare operazioni o scaricare contenuti.
L’app della fotocamera integrata nei dispositivi Android o iOS è sufficiente e sicura, poiché mostra l’URL di destinazione prima dell’apertura, permettendo di verificarlo. Le app aggiuntive per la scansione dei codici QR disponibili negli store offrono invece pochi vantaggi e possono contenere pubblicità o funzioni di tracciamento. L’aspetto decisivo non è quindi l’app utilizzata, ma il controllo dell’URL prima di aprirlo.
Se il danno non è coperto dall’istituto finanziario interessato e la protezione giuridica non riesce a ottenere la restituzione del denaro, la cyber assicurazione della Mobiliare prende in esame un indennizzo di al massimo 20 000 franchi.
Il quishing, o phishing tramite codice QR, è una particolare forma di phishing in cui la vittima viene indirizzata a un sito web falsificato tramite un codice QR. Nel phishing tradizionale, invece, la vittima raggiunge generalmente il sito web falsificato tramite un «normale link» contenuto in un messaggio.
