Codice QR inaspettato su un pacco: cosa fare prima di inserire credenziali

Inizia collocandoti in uno dei tre stati

Un codice QR su un pacco che non aspettavi — un mittente misterioso, un’etichetta “reso” o “riconsegna”, un biglietto che ti chiede di confermare un indirizzo — è un link che non hai richiesto. La domanda utile non è “questo pacco è reale?” ma “fin dove è arrivato questo codice nei miei account?”.

Usa questa tabella per trovare il tuo stato prima di fare qualsiasi altra cosa.

Non scansionare il codice come test, nemmeno su un dispositivo di riserva. La scansione è esattamente il passo che carica la pagina.

Stato A: il codice non è ancora stato scansionato

Non hai bisogno di identificare il mittente per proteggerti. Devi evitare di usare la via stampata.

1. Non scansionare il codice e non aprire alcun link breve stampato accanto.
2. Conserva l’imballaggio e l’etichetta. Fotografa l’etichetta, la riga del mittente e qualsiasi numero di tracciamento. Serve per i tuoi archivi, non come prova che il mittente sia legittimo.
3. Verifica se hai effettivamente ordinato una consegna. Usa l’app del corriere o del rivenditore, o un sito che navighi tu stesso, non il numero di telefono o il link sull’etichetta.
4. Se il pacco è davvero inaspettato e non riesci a collegarlo a un ordine, trattalo come non richiesto. Cosa puoi farne dipende da dove vivi; questo articolo non fornisce consulenza legale per alcun paese.
5. Segnalalo se vuoi. Negli Stati Uniti, la FTC pubblica indicazioni per i consumatori su truffe via SMS e pacchi. Le modalità di segnalazione variano da paese a paese, quindi rivolgiti all’autorità locale per i consumatori invece di dare per scontato che si applichi una procedura statunitense.

Un pacco che arriva senza un ordine corrispondente non è automaticamente un reato, e un codice QR non è automaticamente malevolo. Il punto è che non puoi capirlo dalla sola etichetta, quindi non devi correre il rischio per scoprirlo.

La FTC avverte che un codice QR su un pacco inaspettato può portare a un sito di phishing che ruba informazioni di accesso o di pagamento, oppure a malware. Fonte

Stato B: scansionato, ma non hai inserito nulla

Se il codice ha aperto una pagina e ti sei fermato prima di digitare qualcosa, il tuo compito principale è confermare lo stato reale dell’account tramite una via che controlli tu.

1. Chiudi la pagina o la richiesta dell’app. Non “accedere per annullare” o “confermare la consegna” sulla pagina aperta dal codice.
2. Apri l’app ufficiale del servizio, oppure digita tu stesso l’indirizzo in una nuova scheda del browser. Non riutilizzare il link della scansione.
3. Controlla se l’evento dichiarato esiste. Se la pagina diceva che un pacco era trattenuto, cerca lo stesso avviso nell’area account del corriere o del rivenditore. Se non c’è nulla, la pagina non era un avviso reale.
4. Non installare nulla che la pagina propone. Una richiesta di installazione di un’app da un codice QR su un pacco non è un requisito di consegna che puoi verificare.
5. Annota cosa chiedeva la pagina — password, numero di carta, codice monouso, spese di consegna — così puoi descriverlo con precisione se lo segnali.

La sola scansione non prova che i tuoi account siano stati consultati. Il rischio in questo stato è ciò che fai dopo, quindi l’azione sicura successiva è smettere di usare la via stampata.

Stato C: sono state inserite credenziali

Questo è lo stato che richiede azione, e l’ordine conta.

Se dopo aver scansionato un codice del genere sono state inserite credenziali dell’account, la FTC consiglia di cambiare la password e attivare l’autenticazione a due fattori. Fonte

Segui questi passaggi in ordine, usando l’app dell’account o una pagina che navighi tu stesso:

1. Cambia la password dall’app o dal sito ufficiale, non dalla pagina aperta dal codice.
2. Attiva l’autenticazione a due fattori se non è già attiva. Preferisci un’app di autenticazione o una chiave hardware agli SMS, dove l’account lo offre.
3. Cambia la stessa password ovunque l’hai riutilizzata. Una password digitata in una pagina di phishing va considerata nota a qualcun altro.
4. Se hai inserito dati della carta o bancari, contatta l’emittente della carta o la banca usando il numero sulla carta o la sua app ufficiale. Non usare un numero o un link dal pacco o dalla pagina scansionata. Questo articolo non promette che un pagamento possa essere annullato.
5. Mantieni l’accesso al tuo metodo di recupero finché non hai finito. Non rimuovere email, numero di telefono o codici di recupero prima che il cambio password e la configurazione a due fattori siano confermati funzionanti, altrimenti puoi restare bloccato fuori.
6. Controlla l’attività recente dell’account nell’app ufficiale: luoghi di accesso, app collegate, regole di inoltro e metodi di pagamento. Annulla tutto ciò che non riconosci.

Rimuovere una connessione di accesso o modificare un profilo non equivale a cancellare i dati memorizzati. Se stai chiudendo un account del tutto, segui la procedura di chiusura del fornitore e mantieni un metodo di recupero funzionante fino alla conferma della chiusura.

Usa le vie di accesso note, non il codice stampato

Un’etichetta di un pacco può stampare qualsiasi indirizzo, numero di telefono o codice QR. Non può provare chi possiede la destinazione. Per qualsiasi decisione sull’account — reimpostazione della password, conferma di consegna, pagamento, rimborso — parti da una via di cui ti fidi già:

Se un messaggio dice di provenire da un account di assistenza e ti chiede di spostare la conversazione su un’app di chat o di “verificare” effettuando l’accesso, vale la stessa regola: conferma tramite l’app del servizio stesso. Per questa situazione separata, vedi verifica degli account social falsi di assistenza clienti.

Una corrispondenza di username pubblico è un indizio, non una prova di proprietà. Se stai cercando di identificare chi c’è dietro un handle che ti ha contattato, una ricerca di username come TraceSeek può mostrare dove un handle appare su 3.000+ piattaforme, ma non modifica le impostazioni dell’account, non emette codici di recupero, non recupera denaro né verifica un’identità reale.

Cosa non concludere

• Non ogni scansione di QR installa malware. La FTC descrive phishing e malware come esiti possibili; non dice che ogni scansione produca l’uno o l’altro.
• Una pagina scansionata che sembrava reale non è prova che lo fosse. Controlla l’evento dichiarato nell’app del servizio stesso.
• Un pacco senza ordine corrispondente non identifica il mittente. Non trattare un nome o un indirizzo di reso sull’etichetta come verificati.
• Le regole sui beni non richiesti variano da paese a paese. Questo articolo non estende alcuna norma nazionale ad altri mercati.
• Cambiare una password non è una garanzia di recupero. Riduce l’esposizione; se un account o un pagamento venga ripristinato dipende dal fornitore.

Un breve promemoria che puoi copiare

Compilalo prima di agire, così non dovrai ricostruirlo dopo:

• Stato: A / B / C
• Data e ora della scansione (se presente):
• Cosa diceva di essere la pagina o la richiesta (corriere, rivenditore, banca, altro):
• Cosa chiedeva (password / codice monouso / numero di carta / spese / installazione app):
• Cosa hai inserito, se qualcosa:
• Account interessati:
• Password cambiata: sì / no — dall’app o dal sito ufficiale: sì / no
• Due fattori attivati: sì / no
• Metodo di recupero ancora accessibile: sì / no
• Emittente della carta contattato (se sono stati inseriti dati della carta): sì / no
• Segnalato a (autorità locale, corriere, rivenditore):

Quando hai finito, l’azione utile successiva è confermare ogni account interessato dalla sua app: password cambiata, due fattori attivi, metodo di recupero funzionante e nessuna sessione o app collegata non riconosciuta.