La tecnica dell'adesivo
Il metodo è di una semplicità disarmante. Un criminale entra in un ristorante, individua gli espositori con i QR code sui tavoli o all'ingresso e ci incolla sopra un adesivo appena stampato: con il proprio QR code. L'intera operazione richiede meno di trenta secondi per tavolo.
La falsa pagina che si apre è una replica quasi perfetta di una pagina di ordinazione o di pagamento: i loghi giusti, i colori giusti del marchio, a volte persino il nome del ristorante. Il cliente, convinto di stare sfogliando il menù del giorno, inserisce i dati della propria carta su un sito fraudolento.
La tecnica non riguarda solo i ristoranti: Cybermalveillance.gouv.fr, la piattaforma pubblica francese di assistenza contro la criminalità informatica, segnala anche falsi QR code incollati su parchimetri e colonnine di ricarica per veicoli elettrici.
I ristoranti che passano ai menù digitali senza protezione fisica (QR code incisi, supporti bloccati) sono bersagli privilegiati. I piccoli locali che stampano da soli i propri espositori su carta comune sono i più vulnerabili.
Come riconoscerlo
Prima di scansionare, ispeziona fisicamente il QR code. I falsi adesivi sono spesso leggermente disallineati, con i bordi che si sovrappongono o una qualità di stampa diversa dal resto dei materiali del ristorante.
Usa un lettore di QR code che mostri l'URL completo prima di aprire il link. L'app Fotocamera nativa di iOS e i lettori integrati di Android in genere mostrano l'URL, prenditi un istante per leggerlo. Gli aggressori ricorrono al typosquatting: 'carte-restaurant-lyon.com' al posto del sito ufficiale del locale.
Fai particolarmente attenzione se la pagina che si apre richiede i dati della carta solo per consultare un menù. Nessun ristorante legittimo mette il proprio menù dietro un pagamento.
In caso di dubbio, chiedi direttamente a un membro del personale di mostrarti il menù cartaceo o il QR code visualizzato nella loro interfaccia di gestione: non quello dell'espositore sul tavolo.
Cosa fa Trasimène
Trasimène integra uno scanner di QR code. Ogni link letto da questo scanner viene verificato dai nostri server prima di essere aperto: nelle liste di siti di phishing e di malware gestite da Trasimène, in Google Safe Browsing e in base alla destinazione finale di eventuali reindirizzamenti.
Se il link è riconosciuto come pericoloso, non si apre: compare un avviso e sei tu a decidere se aprirlo comunque. La data di registrazione del dominio, quando è nota, viene mostrata per aiutarti a giudicare, ma non entra nel verdetto.
Questa verifica passa dallo scanner dell'app: aprilo prima di inquadrare il QR code. Un QR code letto con la fotocamera del telefono non viene verificato. Se la VPN opzionale di Trasimène è attiva, rileva a posteriori la visita a un sito già presente nelle nostre liste e te la segnala nell'app. Non blocca direttamente la pagina: solo Quad9, il servizio svizzero a cui affida la risoluzione dei nomi, scarta per conto suo i domini dannosi che conosce.
La vigilanza resta la prima linea di difesa. Un'occhiata rapida prima di scansionare, una lettura dell'URL prima di digitare, una domanda in caso di dubbio: queste semplici abitudini bastano a sventare la stragrande maggioranza degli attacchi via QR code. E con la giusta app di sicurezza, non c'è alcun motivo per non automatizzarle.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Proteggiti dal phishing tramite QR code