Un allarme ufficiale, non una voce di corridoio
FBI — Internet Crime Complaint Center (IC3), avviso PSA250731
Pubblicato il 31 luglio 2025, questo avviso descrive uno schema preciso: pacchi non richiesti consegnati a privati, contenenti un biglietto con un QR code che invita a scansionarlo "per maggiori informazioni" — un modo per avviare schemi di frode tramite un intermediario fisico inatteso.
FTC (Federal Trade Commission) — avvisi ai consumatori
La FTC ha pubblicato tre avvisi distinti su questo tema: nel dicembre 2023, sui truffatori che nascondono link malevoli in QR code; nel gennaio 2025, un avviso specifico sui QR code ricevuti insieme a pacchi inattesi, che reindirizzano verso siti di phishing progettati per rubare credenziali o numeri di carta di credito; nell'aprile 2026, un nuovo avviso su SMS che imitano un verbale di infrazione stradale, con un QR code da scansionare per pagare una multa o un'udienza fittizie.
La variante pedaggio e parcheggio: il link nascosto in un'immagine
L'SMS sembra un avviso ufficiale — un sigillo statale, un numero di pratica — e propone due scelte: presentarsi a un'"udienza" fissata, oppure pagare la multa scansionando il QR code. Ciò che documenta con precisione l'avviso della FTC dell'aprile 2026: la tecnica serve anche ad aggirare i filtri antispam, che riconoscono un link scritto come testo ma non uno nascosto in un'immagine. Scansionare il codice porta a una pagina di pagamento che cattura i dati bancari, ancor prima di parlare del rischio di un malware installato di passaggio.
Fonte: FTC Consumer Advice — «That text about a traffic violation is probably a scam», aprile 2026.
Perché questo vettore funziona
Un link classico in un'email può essere passato in rassegna al volo per verificarne l'indirizzo prima di cliccare. Un QR code no: bisogna scansionarlo per scoprire dove porta, e la fotocamera del telefono nasconde il passaggio di verifica che molte persone hanno imparato a fare con i link testuali. È esattamente per questo che FTC e FBI puntano specificamente su questo vettore nei loro avvisi recenti — pacchi, colonnine del parcheggio, manifesti in spazi pubblici: il supporto fisico dà una legittimità che il solo link non avrebbe.
Altri mercati che copriamo
Svizzera italiana (Ticino)
Il vettore fisico del quishing colpisce anche i parchimetri ticinesi. La polizia cantonale ha confermato ad aggiornamento del 24 marzo 2025 alcune segnalazioni recenti di adesivi con falsi QR code incollati sopra quelli originali dei parcometri, che reindirizzano verso siti di pagamento fraudolenti (Twint o carta) con importi gonfiati. L'Ufficio federale della cibersicurezza (UFCS) segue il fenomeno dalla fine di ottobre 2024. Chi vive tra Italia e Svizzera italiana e vuole proteggere l'intera famiglia con un solo abbonamento può farlo con Il Cerchio, fino a 4 dispositivi.
Fonte: Ticinonline (tio.ch), pubblicato il 12/12/2024, aggiornato il 24/03/2025 — dichiarazione della polizia cantonale ticinese.Domande frequenti
Cos'è il quishing?
Una contrazione di «QR code» e «phishing»: una truffa in cui un falso QR code, spesso incollato su un supporto reale (pacco, colonnina del parcheggio, manifesto), reindirizza la vittima verso un sito fraudolento anziché quello legittimo.
L'FBI ha davvero lanciato un allarme su questo tema?
Sì. Il centro denunce dell'FBI (IC3) ha pubblicato il 31 luglio 2025 un avviso specifico su pacchi non richiesti contenenti QR code usati per avviare schemi di frode.
Come riconoscere un falso QR code?
Diffidenza sistematica verso un QR code ricevuto per posta, incollato su un supporto esistente, o accompagnato da un messaggio che crea urgenza. Il gesto più sicuro: non scansionare mai un QR code inatteso, e verificare l'indirizzo mostrato prima di proseguire se lo si scansiona comunque.
Il QR code viene usato anche nei falsi SMS di pedaggio o multa?
Sì. Nell'aprile 2026 la FTC ha pubblicato un avviso su SMS che imitano un verbale di infrazione stradale, con un QR code da scansionare per pagare una multa o un'udienza fittizie — una variante che nasconde il link fraudolento in un'immagine anziché in un testo, proprio per aggirare i filtri antispam che riconoscono i link scritti.