Pubblicato il 27 luglio 2026
Phishing tramite QR code (Quishing): come testare il Suo team
Cos'è il quishing – e perché sta aumentando proprio ora
«Quishing» indica il phishing tramite QR code: messaggi o adesivi fraudolenti contengono, al posto di un link cliccabile, un QR code che, una volta scansionato, conduce a una pagina falsa. Da quando i QR code sono onnipresenti nella vita quotidiana – menu di ristoranti, parchimetri, avvisi di pacchi, fatture – molti collaboratori mettono in discussione un QR code molto meno di un link classico in un'e-mail.
Perché il quishing aggira le protezioni classiche
I filtri antispam e i software di sicurezza analizzano principalmente testo e link incorporati – un'immagine con un QR code spesso non contiene, per questi sistemi, alcun URL analizzabile. Inoltre, un QR code viene quasi sempre scansionato con lo smartphone personale, non con il notebook aziendale: è proprio lì che molte misure di protezione aziendali, come i filtri web o la sicurezza degli endpoint, non si applicano affatto.
La particolarità svizzera: fatture QR contraffatte
In Svizzera si aggiunge una truffa specifica del paese: i truffatori inviano fatture false con un QR code di pagamento manipolato, in cui IBAN o importo sono stati modificati – visivamente quasi impossibile da distinguere da una vera fattura QR. Chi scansiona il QR code direttamente nell'e-banking o nell'app bancaria senza verificare poi manualmente IBAN e importo rischia, nel peggiore dei casi, di bonificare direttamente ai criminali.
Altri scenari tipici
Oltre alle fatture false, circolano tra l'altro: adesivi manipolati sui parchimetri che conducono a una falsa pagina di pagamento; presunti avvisi di consegna pacchi con un QR code al posto di un link di tracciamento; e QR code su manifesti o volantini in spazi pubblici, dove il codice originale è stato coperto. Tutti e tre sfruttano lo stesso effetto: il QR code stesso appare affidabile perché inserito in un contesto fisico.
Come i collaboratori possono verificare un QR code in sicurezza
La maggior parte delle fotocamere degli smartphone mostra un'anteprima dell'URL di destinazione prima di aprirla – questo momento è decisivo ma viene comunque spesso ignorato. È importante applicare proprio in quel momento gli stessi segnali di allarme validi per un link in un'e-mail: il dominio corrisponde al presunto mittente? L'estensione appare insolita? In caso di richiesta di pagamento vale inoltre la regola: confrontare sempre manualmente IBAN e importo con la fattura originale, indipendentemente da ciò che il QR code precompila.
Come una simulazione testa il quishing
Poiché il quishing utilizza un canale completamente diverso dal classico phishing via e-mail, anche un test deve agire esattamente lì: con scenari di QR code realistici che inducono i collaboratori a scansionare, e un riscontro immediato su quale segnale di allarme sia stato ignorato. Chi ha già messo in discussione un QR code in una simulazione sicura lo rifà per riflesso al prossimo tentativo reale.
Provi Lei stesso
Con il nostro QR-Code-Checker gratuito può verificare direttamente un singolo QR code prima di scansionarlo – e farsi così un'idea di persona su cosa fare attenzione durante il controllo.
Metta alla prova il suo team oggi stesso
Provi l'accesso demo gratuito oppure registri direttamente la sua azienda.