Trovare un foglio sul tergicristallo, tornando verso la propria auto, non è mai una bella sorpresa. Ma negli ultimi giorni quella classica multa lasciata sul parabrezza può nascondere qualcosa di ben più insidioso di una semplice sanzione per divieto di sosta.
La Polizia Locale di Modena ha infatti lanciato l’allarme su una nuova tipologia di truffa che sfrutta proprio questo momento di distrazione e di fastidio, trasformandolo in un’occasione per sottrarre dati bancari agli automobilisti.
Come funziona la truffa
Il meccanismo messo in piedi dai truffatori punta tutto sull’apparenza di autenticità. Il verbale lasciato sul parabrezza è costruito con grande cura, riporta il logo del Comune e descrive una presunta infrazione legata alla sosta in uno spazio riservato alle persone con disabilità, una delle violazioni più comuni e quindi meno sospette agli occhi di chi la riceve.
A rendere il documento ancora più credibile, e al tempo stesso ancora più pericoloso, è la presenza di un codice QR, presentato come la soluzione più rapida e comoda per saldare la sanzione senza doversi recare fisicamente presso gli uffici comunali o utilizzare i canali ufficiali di pagamento.
Proprio in quel piccolo quadratino, apparentemente innocuo, si nasconde però la trappola: scansionandolo con lo smartphone, l’automobilista non viene indirizzato verso il portale ufficiale dell’amministrazione, ma verso una pagina web creata ad arte dai malintenzionati, graficamente molto simile a quella di un sito istituzionale, tanto da poter trarre in inganno anche chi presta solitamente attenzione a questo tipo di comunicazioni.
Furto dei dati bancari
Una volta atterrati sulla pagina fraudolenta, agli utenti vengono richiesti dati personali, informazioni relative alla carta di credito o, nei casi più gravi, vere e proprie credenziali di accesso ai servizi di home banking. Il pagamento della presunta multa diventa quindi solo un pretesto: l’obiettivo reale dei truffatori è entrare in possesso di informazioni sensibili da utilizzare successivamente per sottrarre denaro dai conti correnti delle vittime.
Questa tecnica, nota come quishing, termine che nasce dalla fusione tra le parole QR code e phishing, segue la stessa logica delle più comuni truffe online, con l’unica differenza che al posto di un link ricevuto tramite email, SMS o app di messaggistica viene utilizzato un codice QR. Negli Stati Uniti il fenomeno viene monitorato da almeno tre anni, ma è ormai evidente che abbia iniziato a diffondersi anche sulle strade italiane.
Da non sottovalutare, inoltre, un’altra variante della stessa truffa: la sostituzione fisica dei codici QR originali presenti su parchimetri o colonnine di ricarica per le auto elettriche con adesivi contenenti codici fraudolenti, praticamente indistinguibili a un primo sguardo da quelli legittimi. La raccomandazione delle forze dell’ordine è una sola: non considerare mai il logo di un Comune o di un ente pubblico come garanzia automatica di autenticità del documento.
Prima di inserire qualsiasi dato personale o bancario, è fondamentale controllare con attenzione l’indirizzo del sito a cui si viene reindirizzati, verificando dominio e URL, e in caso di dubbio rivolgersi sempre ai canali ufficiali dell’amministrazione comunale per verificare l’effettiva esistenza della sanzione.