I segnali d'allarme
- Adesivo sopra un altro codice: su parcometri, cartelli o menù. Se si può staccare, diffida.
- Accorciatore sconosciuto: nasconde la destinazione reale. Un'attività seria può usarne uno proprio, ma non uno a caso.
- Dominio con refusi:
paypa1.com,banco-seguro-verificacion.com, sottodomini lunghi che imitano un marchio. - Fretta e minaccia: «il tuo conto sarà bloccato», «paga in 10 minuti», «verifica per non perdere il pacco».
- Richiesta impossibile: un QR per strada che chiede la password della banca o i dati della carta.
Come verificarlo nella pratica
- Usa un lettore che mostri la URL e non apra automaticamente.
- Leggi il dominio da destra a sinistra: ciò che sta prima della prima barra è ciò che conta.
- Confronta con il dominio ufficiale che già conosci, non con quello che appare sul cartello.
- Se la destinazione chiede il login, chiudi e entra scrivendo l'indirizzo a mano.
- Se è un pagamento, apri l'app della banca e incassa da lì; non scansionare un QR che ti viene inviato per «ricevere».
Perché HTTPS non basta
Un certificato dimostra solo che la connessione è cifrata, non chi c'è dietro. Qualsiasi persona può ottenerne uno per un dominio nuovo. La domanda giusta non è «ha il lucchetto?» ma «questo dominio è quello dell'azienda che dice di essere?».
Regola: se il QR ti chiede di installare un'app fuori dagli store ufficiali, di dare accesso al tuo schermo o di pagare con un mezzo che non riconosci, fermati.
Se l'hai già scansionato
Chiudi la pagina senza inserire nulla. Se hai scritto credenziali, cambiale dall'app o dal sito ufficiale e attiva la verifica in due passaggi. Se hai dato dati di carta, chiama la banca e blocca il mezzo di pagamento. Se hai installato un profilo o un'app sconosciuta, disinstallalo e controlla i permessi. Tieni uno screenshot del codice e del cartello: aiuta a segnalarlo.
Segnala il QR falso all'esercizio e, se è in via pubblica, all'autorità locale o al comune. I codici sovrapposti di solito colpiscono molti utenti.
Domande frequenti
HTTPS è sicuro?
Cifra, ma non prova l'identità.
Come vedo la destinazione?
Con un lettore che mostri la URL prima di aprire.
E se l'ho già scansionato?
Chiudi, cambia le password e avvisa la banca se hai dato dati di pagamento.
I QR per strada?
Sì, verifica che non ci sia un adesivo sovrapposto.