Come funziona
Il quishing unisce QR e phishing. Il truffatore crea un codice che rimanda a un sito clone o al download di un malware e lo diffonde in email e SMS oppure lo applica fisicamente sopra un codice autentico: parchimetri, colonnine di ricarica, menu dei ristoranti, avvisi di consegna, lettere che imitano la banca o una multa.
Dopo la scansione il telefono apre una pagina che imita una banca o un servizio di pagamento e chiede subito login, dati della carta o l’installazione di un’app. Le varianti più recenti sfruttano finte offerte di lavoro, dove il QR serve a «registrarsi alla piattaforma» e a versare piccole somme.
Operazione fatta da altri. Se i truffatori hanno usato le tue credenziali per disporre pagamenti al posto tuo, l’operazione è non autorizzata. In questo caso la disciplina europea sui servizi di pagamento (direttiva PSD2, attuata in Italia dal D.Lgs. 11/2010) tutela in modo forte il cliente. La banca deve rimborsare subito, salvo un fondato sospetto di frode da parte del cliente, e la sentenza della Corte di giustizia UE del 15 ottobre 2026, causa C-70/25 ha chiarito che non può rifiutare il rimborso immediato sostenendo che il cliente sia stato gravemente negligente. Quella valutazione viene dopo, e la prova spetta alla banca.
Come riconoscerla
- QR code incollati sopra un altro codice, su un adesivo o un foglio poco curato.
- QR ricevuti via email o SMS senza averli chiesti.
- Dopo la scansione, richiesta immediata di login, dati della carta o download.
- Indirizzo del sito con lettere cambiate, abbreviato o senza connessione sicura.
Cosa fare subito
- Se hai inserito i dati della carta, bloccala subito dal numero verde.
- Fotografa il QR code e il luogo in cui l’hai trovato.
- Segnala il codice al gestore del servizio, al Comune o alla banca.
- Contesta per iscritto gli addebiti che non riconosci.
Trovi tutti i passaggi, dalla raccolta delle prove al reclamo, nella guida Cosa fare subito dopo una truffa.
Domande frequenti
Ho pagato il parcheggio con un QR falso. La banca mi rimborsa gli addebiti successivi?
Gli addebiti eseguiti dai truffatori con i dati della carta sono operazioni non autorizzate. Vanno contestati subito per iscritto. La banca dovrà valutare il rimborso secondo le regole dei servizi di pagamento.