Quishing: come riconoscere i QR code falsi e come prevenirlo in azienda

Quishing unisce «QR» e «phishing». Indica una truffa in cui un QR code porta a una pagina che non appartiene a chi pensi. I casi noti sono i codici coperti sui parcometri e sulle colonnine di ricarica: qualcuno incolla il proprio codice sopra quello vero, e chi scansiona finisce su una pagina di pagamento contraffatta.

Il trucco funziona perché in un QR code l’indirizzo non si vede. È proprio da qui che partono le contromisure, per chi legge e per le aziende.

Come riconoscere un indirizzo autentico

Dopo la scansione, la fotocamera mostra l’indirizzo prima di aprire qualcosa. Leggilo invece di toccare subito. Conta la parte tra «https://» e la prima barra, cioè il dominio.

• qr.tuaazienda.it/menu appartiene a tuaazienda.it. È il dominio dell’azienda.
• tuaazienda.it.pagamento-sosta.com appartiene invece a pagamento-sosta.com, anche se il nome dell’azienda sta davanti. Conta la fine del dominio.
• Fai attenzione a errori di battitura, lettere scambiate e trattini in più nel nome.
• I link brevi di servizi sconosciuti nascondono la destinazione. Su un parcometro o una fattura è un motivo per guardare meglio.
• Se la pagina chiede subito dati di pagamento, password o un download, la prudenza è giusta.

Controlla sul posto prima di scansionare

• Passa un dito sull’adesivo. Se senti un bordo o riesci a sollevare un angolo, sotto può esserci un secondo codice.
• Se il codice è diverso dal resto della segnaletica, per esempio carta diversa, stampa diversa o posizione storta, diffida.
• Se accanto al codice c’è un indirizzo in chiaro, confrontalo con quello mostrato dalla fotocamera.
• Nel dubbio digita tu l’indirizzo o chiedi al personale. Spesso alla macchina si può pagare anche in altro modo.

Cosa possono fare le aziende

Non si può impedire del tutto che un codice venga coperto, perché chiunque può attaccare un adesivo. Ma si può rendere molto più facile la verifica.

• Stampa l’indirizzo in chiaro sotto il codice, ben leggibile e abbastanza corto da digitare. Chi lo confronta nota subito una differenza.
• Usa un sottodominio tuo come qr.tuaazienda.it invece del dominio di un altro. I clienti imparano che i codici veri della tua azienda iniziano sempre con il tuo nome.
• Controlla i codici con regolarità, per esempio a ogni giro, e inseriscilo in un piano fisso.
• Applica i codici in modo che la copertura si noti: stampati direttamente sul materiale, sotto una pellicola protettiva o in una cornice, invece che come adesivo libero.
• Dillo ai clienti. Una frase come «I nostri codici veri iniziano con qr.tuaazienda.it» sul menu o sul tavolo aiuta più di quanto si pensi.
• Tieni d’occhio il numero di scansioni. Se un codice di solito molto scansionato scende all’improvviso quasi a zero, vai a controllare sul posto.

Cosa fa un dominio proprio e cosa no

Un dominio proprio non impedisce a qualcuno di incollare un altro codice sopra il tuo. Aiuta però a riconoscere quello vero: i clienti vedono il tuo nome nell’indirizzo, e un codice falso dà più nell’occhio. Il dominio inoltre è tuo, puoi portarlo a un altro fornitore in qualsiasi momento, e i codici stampati restano validi.

Con Same-QR scegli tu il percorso quando crei un nuovo codice, per esempio qr.tuaazienda.it/menu. È corto, facile da ricordare e da stampare sotto il codice. Un dominio proprio è disponibile da Gastro Pro o Marketing Starter, e i codici esistenti mantengono il loro indirizzo.

Domande frequenti