Attenzione ai codici QR che scansionate

Una coppia di Landquart ama andare in vacanza con la propria auto elettrica e i loro viaggi li hanno portati in Scozia e Norvegia. Nel nord della Gran Bretagna, racconta l’uomo, voleva ricaricare la batteria durante la notte a una stazione di ricarica sul retro dell’hotel.

Come molte colonnine, anche questa riportava un codice QR da scansionare con lo smartphone per accedere rapidamente al sito del fornitore, inserire i dati di pagamento e procedere con la ricarica.

L’uomo, dopo aver scansionato il codice, finisce su un sito sconosciuto. “Quando si è all’estero succede spesso, e il sito sembrava professionale” ricorda. Dopo aver inserito i suoi dati prova a sbloccare la colonnina, ma qualcosa non ha funzionato. Si sposta quindi a una stazione di ricarica vicina, dove tutto fila liscio, e non ci pensa più.

La truffa del codice QR (Espresso, SRF, 02.03.2026)

Mesi più tardi la sua carta di credito viene bloccata, una misura automatica quando vengono rilevati movimenti insoliti o sospetti. Nel caso specifico, qualcuno aveva tentato di fare acquisti a sue spese in un grande magazzino in Inghilterra. Grazie al blocco preventivo della carta, il tentativo è fallito. Ma l’uomo non riesce a spiegarsi come i truffatori siano entrati in possesso dei suoi dati.

Solo l’anno successivo inizia a capire cosa sia successo. Durante un viaggio in Norvegia scansiona nuovamente un codice QR presso una stazione di ricarica. Anche questa volta la ricarica non funziona. Poco dopo, la sua carta viene di nuovo bloccata in via cautelativa, perché qualcuno ha tentato un addebito da Creta.

L’uomo sospetta quindi che l’app collegata alla colonnina di ricarica possa essere stata piratata e si è poi rivolto a SRF per mettere in guardia altre persone.

Secondo gli esperti dell’Ufficio federale della cibersicurezza (UFCS), le app sono considerate sicure. Nel caso in questione, però, tutto fa pensare a un caso di cosiddetto “quishing” (QR‑code e phishing): i truffatori coprono i codici QR autentici con delle contraffazioni per indirizzare le vittime verso un sito fasullo dell’operatore. Il fenomeno è noto anche in Svizzera ma finora i codici QR manipolati sono stati identificati soprattutto su parchimetri e distributori automatici.

Per evitare brutte sorprese, il primo passo è osservare il codice QR prima di scansionarlo e verificare se sia stampato direttamente sulla colonnina o applicato con un adesivo, che potrebbe nascondere l’originale.

Dopo la scansione e prima di inserire i dati, verificare che l’indirizzo internet corrisponda a quello dell’operatore indicato sulla colonnina. Un altro indicatore è il dominio di primo livello: un .ch o .com sono generalmente più affidabili, mentre sigle di Paesi insolite o sospette dovrebbero far scattare un campanello d’allarme.