La tecnica dell'adesivo
Il metodo è di una semplicità disarmante. Un criminale entra in un ristorante, individua gli espositori con i QR code sui tavoli o all'ingresso e ci incolla sopra un adesivo appena stampato: con il proprio QR code. L'intera operazione richiede meno di trenta secondi per tavolo.
La falsa pagina che si apre è una replica quasi perfetta di una pagina di ordinazione o di pagamento: i loghi giusti, i colori giusti del marchio, a volte persino il nome del ristorante. Il cliente, convinto di stare sfogliando il menù del giorno, inserisce i dati della propria carta su un sito fraudolento.
Nel 2025 e all'inizio del 2026 sono stati documentati casi a Lione (Presqu'île, Confluence), Parigi (11° e 18° arrondissement) e Bordeaux (quartiere Saint-Pierre). La tecnica cresce rapidamente: secondo Pharos, la piattaforma francese per la lotta alla criminalità informatica, le segnalazioni di phishing via QR code sono aumentate del 340% tra il 2024 e il 2026.
I ristoranti che passano ai menù digitali senza protezione fisica (QR code incisi, supporti bloccati) sono bersagli privilegiati. I piccoli locali che stampano da soli i propri espositori su carta comune sono i più vulnerabili.
Come riconoscerlo
Prima di scansionare, ispeziona fisicamente il QR code. I falsi adesivi sono spesso leggermente disallineati, con i bordi che si sovrappongono o una qualità di stampa diversa dal resto dei materiali del ristorante.
Usa un lettore di QR code che mostri l'URL completo prima di aprire il link. L'app Fotocamera nativa di iOS e i lettori integrati di Android in genere mostrano l'URL, prenditi un istante per leggerlo. Gli aggressori ricorrono al typosquatting: 'carte-restaurant-lyon.com' al posto del sito ufficiale del locale.
Fai particolarmente attenzione se la pagina che si apre richiede i dati della carta solo per consultare un menù. Nessun ristorante legittimo mette il proprio menù dietro un pagamento.
In caso di dubbio, chiedi direttamente a un membro del personale di mostrarti il menù cartaceo o il QR code visualizzato nella loro interfaccia di gestione: non quello dell'espositore sul tavolo.
Cosa fa Trasimène
Trasimène include una protezione in tempo reale contro i QR code fraudolenti. Ogni URL estratto da un QR code viene verificato su più database di phishing (Google Safe Browsing, i feed proprietari di Trasimène) prima che la pagina venga caricata.
Se l'URL è riconosciuto come sospetto o appartiene a un dominio registrato di recente con le caratteristiche tipiche del phishing, la pagina viene bloccata e compare un avviso: con la possibilità di segnalare il QR code direttamente dall'app.
Questa protezione funziona interamente in background, senza alcuna azione manuale. Tu scansioni come al solito; Trasimène controlla in silenzio.
La vigilanza resta la prima linea di difesa. Un'occhiata rapida prima di scansionare, una lettura dell'URL prima di digitare, una domanda in caso di dubbio: queste semplici abitudini bastano a sventare la stragrande maggioranza degli attacchi via QR code. E con la giusta app di sicurezza, non c'è alcun motivo per non automatizzarle.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- National Cyber Security Centre (Switzerland / NCSC-CH), "Be careful when scanning: the hidden dangers of tampered QR codes" (2025)
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Proteggiti dal phishing tramite QR code