Non sempre: un QR code può essere autentico, ma può anche rimandare a un sito falso costruito per rubare dati, credenziali o pagamenti. Il rischio cresce proprio nei luoghi dove lo usiamo senza pensarci, come tavoli, parcheggi, avvisi cartacei e comunicazioni ricevute via messaggio. La difesa non è smettere di usarli, ma guardare dove portano prima di inserire dati o pagare.
Il tema è tornato caldo perché i QR code sono diventati un gesto quotidiano: menu, biglietti, app, bollette, parcheggi e avvisi di servizio. Altroconsumo ha dedicato un approfondimento al quishing, la truffa che usa QR code malevoli, e Microsoft segnala che nel primo trimestre 2026 il phishing via QR è cresciuto molto nelle campagne email monitorate dai suoi sistemi.
Indice articolo
Perché il QR code inganna più di un link
Un link scritto si può leggere, confrontare e spesso riconoscere a colpo d’occhio. Un QR code, invece, nasconde l’indirizzo dentro un quadrato grafico: lo smartphone mostra l’anteprima, ma molte persone la aprono senza fermarsi. È qui che la comodità diventa il punto debole.
La truffa può arrivare in due modi. Nel mondo fisico, qualcuno può applicare un adesivo sopra un codice legittimo, per esempio su un tavolo, un cartello o un parchimetro. Nel digitale, il QR può comparire in una email, in un PDF o in un messaggio che imita un servizio conosciuto.
Cosa controllare prima di aprirlo
La prima cosa da guardare è l’indirizzo che compare nell’anteprima. Se il dominio è strano, abbreviato, pieno di caratteri inutili o diverso dal sito ufficiale del servizio, meglio fermarsi. Per pagamenti, prenotazioni e accessi personali conviene aprire l’app ufficiale o digitare il sito a mano.
Nel caso di QR code fisici, vale anche il controllo materiale. Se il codice sembra un adesivo applicato sopra un altro, se è storto, rovinato, fuori contesto o aggiunto su un supporto non ufficiale, non va scansionato. In un locale o in un parcheggio, chiedere conferma al personale o usare il metodo di pagamento indicato dall’app ufficiale è più prudente.
Cosa evitare quando compare una richiesta urgente
Il campanello d’allarme più forte è la pressione: “paga subito”, “conto bloccato”, “multa in scadenza”, “verifica i dati”. Poste Italiane, nelle sue indicazioni contro le truffe, invita a non fornire dati personali o bancari e a non inquadrare QR code ricevuti via SMS o email per accedere ad aree personali.
Se dopo la scansione il sito chiede numero di carta, PIN, CVV, codici OTP, password o documenti, bisogna chiedersi se quella richiesta era davvero prevista. Un menu digitale non deve chiedere dati bancari. Un avviso generico non dovrebbe costringere a inserire credenziali sensibili da una pagina aperta al volo.
Il dibattito: il problema non è il QR, è la fiducia automatica
I QR code non sono pericolosi in sé. Sono utili perché accorciano il percorso tra oggetto fisico e servizio digitale. Il punto è che non mostrano subito la destinazione con la stessa chiarezza di un indirizzo stampato, e questo li rende comodi anche per chi vuole imitare un servizio legittimo.
Per questo la regola pratica è semplice: più il QR porta a denaro, dati personali o login, più serve una verifica separata. Se porta solo al menu di un ristorante, il rischio è più basso, ma l’indirizzo va comunque guardato. Se porta a un pagamento, a SPID, alla banca o a un servizio postale, meglio passare dall’app o dal sito ufficiale.
Se lo hai già scansionato
Scansionare un QR sospetto non significa automaticamente avere subito un danno. Il rischio aumenta se hai scaricato file, installato app, concesso permessi o inserito dati. In quel caso conviene cambiare le password coinvolte, controllare i movimenti del conto o della carta, avvisare la banca se sono stati comunicati dati di pagamento e conservare screenshot e indirizzi della pagina.
Per tentativi di frode o reati telematici, il riferimento istituzionale è la Polizia Postale attraverso il Commissariato di P.S. online. Se il QR falso è stato trovato in un luogo pubblico o in un esercizio commerciale, va segnalato anche al gestore, così può rimuoverlo e avvisare altri clienti.
FAQ rapide
Un QR code può installare malware da solo?
Di norma il codice rimanda a una pagina o a un’azione. Il rischio concreto cresce se si scarica qualcosa, si installa un’app fuori dagli store ufficiali o si concedono permessi senza capire a cosa servono.
Il QR sul menu del ristorante è sempre sicuro?
No, ma spesso è legittimo. Prima di aprire, controlla l’anteprima dell’indirizzo e chiedi conferma se il codice sembra un adesivo sovrapposto o porta a una pagina insolita.
Conviene usare un lettore QR separato?
Non è obbligatorio. Conta soprattutto non aprire alla cieca: l’anteprima dell’URL va letta e, per pagamenti o account, è meglio usare app e siti ufficiali.
Fonti
- Altroconsumo, “Truffa con QR Code: come riconoscere il quishing”.
- Microsoft Security Blog, “Email threat landscape: Q1 2026 trends and insights”.
- Poste Italiane, “Come difendersi dalle truffe”.
- Commissariato di P.S. online, canali e informazioni della Polizia Postale.
Ultimo controllo: 25 giugno 2026, ore 16:55 Europe/Rome.
