I QR code sono sicuri? Cosa possono e cosa non possono fare

Risposta breve: il codice in sé è inerte. È un disegno che si decodifica in un testo, quasi sempre un indirizzo web. Non può installare software, eseguire codice né leggere alcunché dal telefono che lo ha scansionato.

Ciò che può andare storto dipende interamente dalla destinazione e dal fatto che il codice scansionato sia quello messo dal titolare.

Cosa un QR code fisicamente non può fare

• Non può contenere un virus. Non c'è nulla da eseguire: il testo decodificato va al sistema, che di solito propone «apri questo link».
• Non può installare un'app da solo. Può portarti alla scheda dello store; installare resta un tuo gesto.
• Non può leggere contatti, foto o messaggi. Scansionare non concede permessi.
• Non può effettuare un pagamento. Può aprire una pagina di pagamento; autorizzare tocca a te.
• Non può collegarti al Wi-Fi in silenzio: il telefono chiede prima.

Cosa può davvero andare storto

1. La destinazione è una pagina di phishing. Copia convincente di una banca, di un corriere, di un pagamento della sosta. Il codice è solo il mezzo di consegna.
2. Il codice non è del titolare. Un adesivo sopra quello vero su un parchimetro, un menù, un manifesto di beneficenza.
3. La destinazione chiede ciò che non dovrebbe. Credenziali, numero di carta, un'app fuori dallo store.

Scansionare con prudenza, in pratica

• Leggi l'indirizzo prima di toccare. Ogni telefono moderno mostra l'URL in anteprima. Guarda il dominio, non il resto.
• Diffida prima del contesto fisico. Adesivo su un codice stampato, codice su un lampione, codice attaccato a un parchimetro.
• Mai inserire dati di pagamento o accesso su una pagina raggiunta da un codice trovato per strada.
• L'urgenza è sospetta. «Il pacco è fermo», «la multa raddoppia domani».
• Il lucchetto significa cifrato, non onesto. Anche le pagine di phishing ce l'hanno.

Se i codici sono tuoi

• Usa un dominio riconoscibile. Un link breve sul tuo dominio rende evidente un adesivo falso.
• Stampa l'indirizzo sotto il codice. Una riga, e il quadrato misterioso diventa un'affermazione verificabile.
• Guarda la tua segnaletica. La manomissione è fisica e richiede un controllo fisico.

Un codice dinamico aiuta in un modo facile da trascurare: se un codice viene abusato o una pagina compromessa, lo reindirizzi in pochi secondi invece di mandare qualcuno a sostituire stampati.

Cosa la scansione dice al titolare su di te

«Sicuro» significa anche «cosa viene raccolto». Qui una scansione registra ora, quale codice, tipo di dispositivo, sistema e browser dichiarati dalla richiesta, il referrer se inviato, e un hash con sale dell'IP per contare i visitatori unici.

Non registrati: la tua identità, il tuo numero, i tuoi contatti — e nessuna posizione. Molti servizi ricavano il paese dall'IP; questo non lo raccoglie. Altri fornitori si comportano diversamente, ed è per questo che la domanda vale la pena.

Risposte rapide

• Un QR può dare un virus? No: si decodifica in testo.
• Può rubare dati alla scansione? No: scansionare non concede permessi.
• È sicuro scansionarne uno per strada? Scansionare sì; fidarsi della destinazione è la domanda.
• Come riconosco un codice manomesso? Un adesivo sopra un altro, e il dominio dopo la scansione.
• Sono sicuri quelli dei ristoranti? In genere sì, con la stessa verifica.
• Il titolare sa chi sono? No: qui né identità né posizione.