I pagamenti con QR code sono sicuri quando, prima di confermare, controlli due cose: il nome del destinatario e l'importo che compaiono sullo schermo. La maggior parte delle frodi con QR code avviene proprio quando qualcuno salta quel controllo — perché un adesivo copriva il codice vero del negozio, oppure perché un truffatore ha inviato un codice che porta via denaro invece di riceverlo. Questa guida spiega come funzionano questi pagamenti, quali sono i trucchetti più diffusi e offre una checklist semplice sia per i clienti sia per i negozianti.
Come funzionano davvero i pagamenti con QR code
Un QR code è semplicemente un codice a barre quadrato che contiene testo. Nei pagamenti, quel testo punta in genere a una richiesta di pagamento: può contenere un identificativo del commerciante, un link a un'app di pagamento o i dati di un conto. Quando lo scansioni con la tua app della banca o di pagamento, l'app legge i dettagli e ti mostra una schermata di conferma.
Il punto chiave è questo: scansionare non paga nessuno. La scansione apre solo una bozza di transazione. Il pagamento avviene quando rivedi i dettagli e confermi — di solito con un PIN, l'impronta digitale o il riconoscimento del volto. Quella schermata di conferma è la tua occasione per intercettare un problema, ed è il momento più importante di tutto il processo.
Ci sono due flussi comuni:
- Il cliente scansiona il codice del commerciante. Scansioni il codice al bancone di un negozio o su un supporto, l'app mostra il nome del commerciante, inserisci o confermi l'importo e approvi.
- Il commerciante scansiona il cliente. Alcuni sistemi permettono al negozio di scansionare un codice nella tua app; poi approvi l'importo che ha inserito. In questo caso è il negozio a controllare l'importo, quindi guarda bene lo schermo che ti mostra o la cifra che appare nella tua app.
Alcuni codici sono "statici": lo stesso codice stampato viene usato ogni volta e l'importo lo digiti tu. Altri sono "dinamici": uno schermo o uno scontrino mostra un codice nuovo con l'importo esatto già incluso. I codici dinamici sono più difficili da manomettere, ma entrambi i tipi portano allo stesso punto: una schermata di conferma che indica chi riceve il denaro e quanto.
Perché i pagamenti con QR code sono presi di mira
I QR code sono comodi proprio perché sono opachi. Un essere umano non riesce a leggere un QR code guardandolo. Non hai idea di cosa contenga finché un'app non lo decodifica. Quella distanza tra ciò che vedi (un quadratino dall'aspetto innocuo) e ciò che fa (avvia un pagamento) è esattamente ciò di cui i truffatori approfittano.
La seconda ragione è l'abitudine. Quando le persone scansionano codici qualche volta senza problemi, la scansione diventa automatica — punti, tocchi, confermi — a volte in pochi secondi, senza leggere lo schermo. La velocità va bene per le code, ma elimina l'unico checkpoint che ti protegge.
La buona notizia: poiché un pagamento con QR code termina sempre con una schermata di conferma che mostra destinatario e importo, quasi tutte le truffe comuni con QR code sono visibili in quel momento. I trucchetti descritti sotto provano tutti a farti saltare quella schermata o a farti leggere male.
Il trucco dell'adesivo: un codice falso incollato sopra uno vero
Questa è la truffa classica con i QR code nei pagamenti. Un truffatore stampa il proprio codice di pagamento — uno che invia il denaro al suo conto — e lo incolla sopra il codice legittimo di un parcometro, di un piccolo negozio, di una bancarella al mercato, di un noleggio di biciclette o di un poster che raccoglie donazioni.
Scansioni quello che sembra il codice normale, l'app mostra un nome che non riconosci (oppure non controlli), digiti l'importo e paghi la persona sbagliata. Il negozio non riceve mai il denaro e potrebbe comunque considerare la tua bolletta non saldata: così perdi due volte.
Proteggersi richiede pochi secondi:
- Guarda il codice stesso prima di scansionarlo. È un adesivo appiccicato sopra qualcos'altro? I bordi si staccano? È leggermente storto o su un materiale diverso rispetto a ciò che lo circonda? Un codice incollato sopra un cartello stampato è un campanello d'allarme.
- Dopo la scansione, leggi il nome del destinatario nella schermata di conferma. Se stai pagando "Parcheggio Comunale" e lo schermo mostra il nome di una persona fisica, fermati.
- Se il codice sembra manomesso, avvisa il personale o il gestore del distributore e paga in un altro modo.
"Scansiona per ricevere denaro" — la truffa rovesciata
Questa trappola colpisce chi assume che tutti i QR code di pagamento funzionino allo stesso modo. Un truffatore ti contatta — spacciandosi per un acquirente su un sito di annunci, per un "agente rimborsi" di un corriere o per qualcuno che dice di doverti dei soldi — e ti invia un QR code da scansionare "perché il denaro possa arrivarti".
Ecco la trappola: scansionare un codice e confermare non fa entrare denaro. Nei flussi che la maggior parte delle persone usa, scansionare un codice di pagamento avvia un pagamento dal tuo conto verso qualcun altro. Il codice del truffatore è semplicemente una richiesta di pagamento a suo favore. Confermi, e gli hai pagato — l'esatto contrario di ciò che era stato promesso.
La regola è semplice e vale la pena memorizzarla: non si scansiona mai un codice per ricevere denaro. Il denaro che ti arriva non richiede che tu scansioni nulla né che confermi un pagamento. Se qualcuno insiste sul fatto che scansionare il suo codice sia necessario per "sbloccare" dei fondi, "verificare il tuo conto" o "completare un rimborso", è una truffa. Un rimborso autentico viene avviato da chi lo invia; al massimo potresti ricevere un link di pagamento nella funzione di richiesta della tua app — e anche in quel caso, un rimborso vero non richiede mai di inserire un PIN o di approvare un pagamento in uscita.
Messaggi urgenti e pressione
Molte truffe con QR code arrivano via messaggio: un SMS o un messaggio su un'app di chat che sembra provenire da un corriere, da un ufficio pubblico, dalla tua banca o da un acquirente su un marketplace. Il messaggio crea urgenza — "il tuo pacco è trattenuto, scansiona per pagare una piccola tassa doganale", "il tuo conto verrà bloccato, scansiona per verificare", "sono pronto a comprare il tuo oggetto, scansiona per ricevere l'acconto" — e include un QR code o un link verso uno.
L'urgenza è il segnale rivelatore. Le organizzazioni serie non pretendono pagamenti o verifiche del conto tramite un QR code in un messaggio non richiesto, e non ti danno pochi minuti per agire. Quando un messaggio ti spinge a scansionare subito o perdere qualcosa, quella spinta stessa è l'avvertimento.
Abitudini sicure con codici non richiesti:
- Non scansionare codici provenienti da messaggi che non aspettavi, nemmeno se il mittente sembra ufficiale. Nomi e loghi dei mittenti sono facili da falsificare.
- Se il messaggio dice di venire da un'azienda con cui hai davvero a che fare, contatta quell'azienda tramite il numero sul retro della tua carta, la tua app o il sito ufficiale — non tramite nulla di ciò che contiene il messaggio.
- Non inserire mai dati della carta, password o codici monouso su un sito web raggiunto scansionando un codice in un messaggio. Una conferma di pagamento nella tua app è una cosa; una pagina web qualsiasi che chiede le tue credenziali è un'altra.
Importi manomessi e abitudini di controllo dello schermo
Nei pagamenti tra persone e in alcuni flussi con i commercianti, l'importo viene digitato da una persona: lo inserisce il venditore, oppure lo inserisci tu. Le frodi in questo ambito sono di solito grossolane: un importo gonfiato, un addebito doppio o una struttura "acconto più commissione" che non ha alcun senso.
La tua difesa è la schermata di conferma. Prima di approvare qualsiasi pagamento, leggi tre cose:
- Il nome del destinatario. Corrisponde alla persona o all'attività che vuoi pagare? Se stai pagando un amico, è l'amico giusto? I contatti salvati e i nomi simili causano errori in buona fede.
- L'importo. Cifra per cifra, decimali inclusi. "45,00" e "450,00" si differenziano per un solo tocco su molte tastiere.
- La valuta ed eventuali commissioni, se la tua app le mostra, soprattutto per i pagamenti transfrontalieri.
Se qualcuno ti sta accanto spingendoti a "confermare subito", rallenta. La pressione nella schermata di conferma — un venditore che ti afferra il telefono, un "aiutante" che digita al posto tuo, una folla che ti fa fretta — è uno schema da trattare con sospetto. Riprenditi il telefono, leggi lo schermo e, se qualcosa non torna, annulla. Annullare una conferma di pagamento in sospeso è sempre sicuro: il pagamento non è ancora avvenuto.
Checklist per i clienti
Prima di ogni pagamento con QR code, passa in rassegna questa breve lista. Ci si mette più a leggerla che a farla.
- Ispeziona lo stato fisico del codice. Al bancone, su un distributore o su un poster: nessun adesivo, nessun bordo sollevato, nessun codice appoggiato in modo strano sopra un altro.
- Scansiona con la tua app fidata, aperta dal tuo telefono — non con un'app fotocamera che apre link sconosciuti e non con uno scanner che il venditore ti porge.
- Leggi il nome del destinatario nella schermata di conferma. Verifica che corrisponda a chi vuoi pagare.
- Leggi l'importo, cifra per cifra, prima di confermare.
- Non scansionare mai un codice per ricevere denaro. Il denaro in entrata non richiede la conferma di un pagamento in uscita.
- Ignora i codici urgenti nei messaggi inaspettati. Verifica invece tramite i canali ufficiali.
- Usa uno schermo privato e un vero PIN o controllo biometrico. Non approvare pagamenti mentre qualcun altro tiene o guarda da vicino il tuo telefono.
- Conserva la ricevuta o uno screenshot della conferma finché non sei certo che il pagamento sia corretto. È la tua prova se qualcosa va storto.
- Segnala subito i problemi. Se hai pagato il codice sbagliato o confermato una richiesta fraudolenta, contatta subito la tua banca o il tuo fornitore di pagamenti e chiedi quali opzioni esistono. La velocità conta: non aspettare.
Checklist per i negozianti
I negozianti proteggono se stessi e i propri clienti con poche abitudini.
- Controlla ogni giorno i codici stampati. Cerca adesivi, sovrapposizioni o cartoncini sostituiti a ogni bancone, supporto e distributore. Inseriscilo nella routine di apertura.
- Fissa i codici dove non possano essere sostituiti di nascosto — dietro il bancone, plastificati, o su un supporto visibile dalla tua posizione di lavoro. Tieni il display o lo stand sotto la tua supervisione; un codice su un tavolo incustodito in fondo al negozio è un invito.
- Usa codici dinamici dove il tuo fornitore li supporta — un codice nuovo per ogni transazione con l'importo incluso non lascia nulla da ricoprire con un importo diverso.
- Conferma l'incasso prima di consegnare la merce. Verifica che il denaro sia davvero arrivato nel tuo conto — lo screenshot del cliente non è una prova; lo è una notifica nella tua app o un'occhiata all'estratto conto. Questo smaschera anche il bluff del "ho già pagato" e l'errore del codice sbagliato, in cui il cliente ha pagato un altro.
- Spiega al personale cosa tenere d'occhio: un cliente che chiede di "sistemare" il codice, un adesivo che non hai messo tu, un cliente che sembra confuso sul nome del destinatario.
- Agisci in fretta se un codice è stato manomesso. Sostituiscilo, avvisa il tuo fornitore di pagamenti e affiggi un breve avviso che chieda ai clienti che hanno pagato un codice sbagliato di recente di contattarti — potreste riuscire a fare i conti, e il fornitore potrebbe poter agire sulle segnalazioni.
- Segnala le frodi alla banca o al fornitore di pagamenti anche se la perdita sembra piccola. Le segnalazioni aiutano i fornitori a individuare schemi e ad avvisare altri commercianti.
Cosa fare se qualcosa va storto
Errori e frodi capitano entrambi. La risposta è la stessa:
- Fermati. Non inviare altro denaro e non scansionare nulla di ciò che l'altra parte invia "per sistemare". Una truffa di secondo livello chiede alle vittime di pagare una "commissione di recupero".
- Contatta subito la banca o il fornitore di pagamenti tramite l'app ufficiale o il numero sul retro della carta. Spiega cosa è successo, quando e per quanto. Chiedi quali opzioni esistono — alcuni fornitori possono bloccare, stornare o indagare sulle transazioni, e le possibilità sono migliori prima segnali.
- Conserva le prove. Salva uno screenshot della conferma, dei messaggi di chat e del codice, se puoi. Non cancellare la conversazione.
- Avvisa l'altra parte se è un commerciante. Se hai scansionato un codice manomesso in un negozio, il negozio ha perso una vendita e potrebbe non sapere che il suo codice è stato sostituito. Dirglielo aiuta tutti.
- Segnala alle autorità competenti o ai canali di tutela dei consumatori del tuo paese se il fornitore ti indica di farlo.
Nessuno può garantire che un pagamento sbagliato venga recuperato — dipende dal fornitore, dai tempi e dalle circostanze. Ma una segnalazione rapida è sempre meglio di una lenta, e in molti casi fa la differenza tra un errore recuperabile e una perdita definitiva.
Conclusione
I pagamenti con QR code non sono né pericolosi né magici — sono un'istruzione di pagamento che termina in una schermata che controlli tu. Tutto il gioco della sicurezza si gioca in quella schermata. Controlla il nome del destinatario e l'importo prima di confermare, non scansionare mai un codice per ricevere denaro, diffida dei codici urgenti nei messaggi inaspettati e, se gestisci un negozio, tieni i codici stampati dove solo tu puoi modificarli. Fai queste quattro cose ogni volta, e le truffe più comuni con i QR code non avranno più alcuno spazio in cui agire.