Il quishing, la truffa del QR code spiegata semplice
Un cliente inquadra il quadratino attaccato al tavolo in dehors. Al posto del menu, si apre una pagina che gli chiede il numero della carta. Quello non è il vostro codice: è quishing, parola nata dall'unione di QR code e phishing.
Se ne parla molto, quindi i vostri clienti ne hanno già sentito parlare. Un motivo in più per avere il controllo di ciò che applicate sui tavoli, non per rinunciarci.
Che cos'è un QR code?
Un QR code è un'immagine che contiene del testo, quasi sempre un indirizzo internet. La fotocamera legge il codice e propone di aprire la pagina. È una scorciatoia, niente di più: non installa nulla e non esegue alcun programma. Se vi interessa il funzionamento tecnico, lo abbiamo spiegato nel nostro articolo su come funziona un QR code.
Che cos'è il quishing?
Il quishing è il classico phishing, con un codice al posto del link. I criminali informatici creano un falso codice che reindirizza l'utente su un sito che imita un marchio noto. La pagina chiede poi dati personali, credenziali di accesso, password o coordinate bancarie.
La differenza rispetto al phishing via email è semplice: nessuno riesce a leggere a occhio nudo un quadrato di pixel. L'abitudine di passare il puntatore sul link prima di cliccare qui non serve più. È proprio questo punto cieco che la truffa sfrutta.
Dove si trovano questi QR code fraudolenti?
Quasi sempre in luoghi pubblici, su supporti che nessuno controlla di continuo. Il metodo non cambia mai: un adesivo malevolo viene applicato sopra un codice legittimo, oppure arriva una finta lettera nella cassetta della posta.
Parcheggi, parcometri e colonnine di ricarica
È il caso più diffuso. Un adesivo viene incollato sul parcometro o sulla colonnina, e la pagina di pagamento riproduce l'interfaccia del Comune. Le vittime pagano una sosta che non esiste e nel frattempo lasciano i propri dati bancari. I Comuni interessati diffondono con regolarità avvisi su queste truffe.
Sanità, tessera sanitaria e rimborsi
La truffa del QR code legata alla sanità circola per posta o via SMS. Il messaggio annuncia un rimborso in attesa o una tessera sanitaria da rinnovare. Il codice porta a una falsa pagina dell'ASL o dell'INPS che chiede codice fiscale e IBAN. Nessun ente pubblico chiede le vostre coordinate bancarie in questo modo.
Annunci online, lettere e consegne
Sui siti di annunci, un finto acquirente invia un codice di pagamento presentato come sicuro. La vittima lo inquadra e in realtà autorizza un bonifico a favore di chi ha creato il codice. Stessa logica per i finti avvisi di giacenza dei corrieri lasciati nella cassetta della posta.
Il QR code del vostro menu è un'altra cosa
Il codice di un menu porta a una pagina vostra, ospitata dal vostro fornitore, senza moduli né pagamenti. Non chiede né identità, né carta, né password. L'unico rischio reale è che qualcuno ci attacchi sopra un adesivo, e si risolve con il materiale giusto, non con la tecnologia.
| Criterio | QR code fraudolento | QR code del menu sotto controllo |
|---|---|---|
| Origine del codice | Adesivo aggiunto, lettera sconosciuta | Stampato o inciso da voi |
| Indirizzo aperto | URL accorciato o dominio imitato | Il vostro dominio, sempre lo stesso |
| Dati richiesti | Carta di credito, password, identità | Nessuno |
| Conseguenza della scansione | Frode, addebiti, furto d'identità | Visualizzazione del menu |
Nella pratica, in sala i problemi non nascono mai dal QR code in sé: nascono da un supporto fragile, attaccato di fretta, che chiunque può ricoprire in dieci secondi.
Come riconoscere un falso QR code
Insegnate questi segnali al vostro personale. Bastano nella quasi totalità dei casi e valgono anche per i vostri clienti.
- Un adesivo applicato sopra un altro supporto: sollevate un angolo e verificate che cosa c'è sotto.
- Un indirizzo accorciato o un nome di dominio approssimativo: nel dubbio, meglio non scansionarlo.
- Una pagina che chiede dati bancari mentre state solo consultando un menu o un orario.
- Un senso di urgenza: multa da pagare, pacco bloccato, account sospeso.
Sulla maggior parte degli smartphone l'indirizzo compare prima che la pagina si apra. Controllate la prima parte del dominio, quella che precede la prima barra. È lei che dice dove state andando davvero, e lo spieghiamo nella nostra guida su come scansionare un QR code in sicurezza.
Cinque accorgimenti per proteggere i clienti in sala
La sicurezza di un QR code al ristorante è una questione di supporto fisico e di routine, non di informatica.
- Preferite il cavalletto inciso, l'adesivo protetto da vernice o il codice stampato nel menu, invece di un semplice adesivo.
- Fate un giro in sala ogni settimana: un codice ricoperto si nota in trenta secondi.
- Aggiungete il vostro logo e il nome del locale intorno al codice, per evitare confusione.
- Ogni mattina all'apertura, scansionate voi stessi due tavoli a caso.
- Non chiedete mai dati personali né pagamenti tramite quel codice: i vostri clienti impareranno che da voi una scansione apre solo il menu.
Lo stesso principio vale per gli altri codici del locale, compreso quello del vostro accesso wi-fi per i clienti.
Che cosa fare se voi o un cliente siete vittime
Agite in fretta: la maggior parte degli addebiti fraudolenti può essere bloccata nelle ore successive. Chiedete il blocco alla banca, cambiate le password riutilizzate altrove, poi segnalate la truffa sui canali ufficiali.
In sala, se trovate un codice falso, rimuovete il supporto, fotografatelo e avvisate i clienti presenti. Sporgere denuncia resta utile anche senza perdita economica: sono queste segnalazioni a far emergere le serie di adesivi malevoli in un quartiere.
Il QR code resta uno strumento neutro. Applicato bene e controllato con regolarità, non presenta nessuno dei rischi di cui parlano queste storie di truffe.