Verbali sempre più realistici e QR code ovunque, le multe false sono sempre più difficili da distinguere: le soluzioni

La Polizia Locale di Modena ha segnalato un falso preavviso di sosta lasciato sul parabrezza: il foglio contestava un parcheggio in uno spazio riservato alle persone con disabilità e invitava a pagare con un QR code. Il codice conduceva a un sito clone, progettato per raccogliere credenziali bancarie e denaro. Per verificare la richiesta, occorre controllare il pagamento e l’ente beneficiario attraverso canali ufficiali raggiunti autonomamente.

Il caso unisce un documento cartaceo dall’aspetto realistico a un rischio digitale nascosto nel codice stampato. È il cosiddetto quishing, parola nata dalla fusione di QR code e phishing. Lo schema può comparire anche nei codici di ristoranti, parchimetri e colonnine di ricarica. La regola è semplice: prima di inquadrare o pagare, fermarsi, verificare l’origine della richiesta e contattare l’amministrazione usando i recapiti pubblicati sul suo sito istituzionale.

Il caso di Modena: il foglio non basta

Nel caso modenese, il falso avviso riproduceva il marchio del Comune e l’aspetto di un preavviso autentico. La contestazione riguardava la sosta in un posto riservato alle persone con disabilità. Inquadrando il QR code si arrivava a una pagina costruita per sembrare un servizio pubblico di pagamento; inserendo i dati richiesti, l’automobilista rischiava di consegnare ai truffatori le informazioni della carta e di autorizzare un trasferimento di denaro.

Un logo comunale, un’intestazione e una grafica curata si possono riprodurre. Anche il tono amministrativo. Refusi, simboli alterati e scadenze incoerenti aiutavano in passato a riconoscere alcuni falsi; restano indizi da valutare, ma un foglio stampato con cura può non avere errori vistosi. La targa, poi, è visibile a chiunque voglia riportarla sull’avviso.

Un preavviso lasciato sull’auto anticipa una possibile contestazione. Per verificare i dati, confrontare targa, modello, luogo, data, ora, violazione contestata e numero dell’atto, poi chiedere conferma al comando di Polizia Locale competente. I recapiti vanno cercati sul portale istituzionale, senza usare numeri o indirizzi stampati sul documento sospetto.

Perché il QR code rende credibile la truffa

Inquadrare un codice con la fotocamera del telefono è diventato un gesto abituale. Un QR code, però, può contenere un collegamento a una pagina fraudolenta. Nelle false multe quella pagina imita spesso il portale di un Comune o un servizio di pagamento e chiede informazioni personali, dati della carta o credenziali bancarie.

Il foglio sul tergicristallo aggiunge una parvenza di affidabilità: si trova proprio nel luogo in cui l’automobilista ha parcheggiato e il contesto fa sembrare plausibile la sanzione. La fretta di evitare una maggiorazione può portare a pagare senza leggere il destinatario. Prima di confermare qualsiasi operazione, controllare il beneficiario: il nome dell’ente mostrato nell’app o nel canale di pagamento deve corrispondere a quello che ha emesso l’avviso.

Il meccanismo si incontra anche in altri luoghi. Un adesivo con un codice malevolo può coprire quello autentico su un parchimetro, su un tavolo di ristorante o su una colonnina di ricarica. La scansione indirizza allora verso un sito controllato dai truffatori. Prima di usare il codice, osservare se è stato applicato sopra un altro, se la superficie sembra manomessa o se le istruzioni chiedono dati estranei al servizio.

Controllare la destinazione prima di inserire i dati

Dopo la scansione, sullo schermo può comparire l’indirizzo del sito. Leggerlo per intero prima di aprire la pagina: parole aggiunte al dominio, lettere sostituite, trattini insoliti o caratteri casuali possono imitare l’indirizzo di un ente. Anche gli URL abbreviati o poco riconoscibili richiedono prudenza. Il lucchetto HTTPS segnala una connessione cifrata.

Per un avviso pagoPA, il QR di pagamento è pensato per essere letto dalle applicazioni compatibili. L’app mostra i dati dell’avviso e il beneficiario prima della conferma. Se il codice apre direttamente una pagina web sconosciuta, interrompere la procedura e verificare la richiesta. Anche pagando nell’app della banca, controllare nome e identità del beneficiario prima di autorizzare l’addebito.

Per cercare una multa, partire dal sito ufficiale del Comune o della Polizia Locale: digitare l’indirizzo nel browser oppure usare un’app già conosciuta, come IO, se l’ente ha inviato una notifica. In alternativa, chiamare l’ufficio sanzioni al numero pubblicato sul portale istituzionale. Evitare di seguire annunci sponsorizzati comparsi nei motori di ricerca o collegamenti ricevuti insieme alla richiesta. Accedere autonomamente riduce il rischio di finire su una copia fraudolenta.

Scadenze e modalità di notifica da verificare

Le scadenze previste dal Codice della strada aiutano a individuare alcune incongruenze. L’articolo 202 prevede la riduzione del 30% per chi paga entro cinque giorni dalla contestazione o dalla notifica del verbale, salvo le eccezioni stabilite dalla legge. Una promessa di sconto valida per quindici giorni, comparsa in alcune false comunicazioni, è un campanello d’allarme. Le amministrazioni possono indicare le modalità operative per pagare un preavviso: il Comune che avrebbe emesso l’avviso può confermarle.

Per le violazioni non contestate subito, l’articolo 201 stabilisce in via ordinaria che il verbale venga notificato entro novanta giorni dall’accertamento. Ricevuta la notifica, il termine ordinario per pagare l’importo ridotto è di sessanta giorni. Quando si applica lo sconto del 30%, restano invece cinque giorni. Le scadenze riportate sul foglio vanno confrontate con la norma e con la posizione verificata presso l’ente.

Un verbale notificato segue canali formali: raccomandata, PEC o notificazione digitale tramite SEND, il servizio della pubblica amministrazione per le notifiche. Una semplice e-mail o un SMS che impone un pagamento immediato tramite link richiede una verifica prima di procedere. Anche un mittente apparentemente familiare può essere falsificato. È più sicuro aprire autonomamente l’app o il portale dell’ente e cercare l’avviso nella propria posizione.

La truffa arriva anche via SMS, e-mail e telefono

Il QR code è una delle modalità usate per rendere credibile una richiesta di pagamento. Le campagne fraudolente arrivano anche con SMS, e-mail e telefonate. Nello smishing, il messaggio segnala una multa non pagata e inserisce un link; con lo spoofing, il numero o il mittente visualizzato sembra appartenere a un’autorità; nel vishing, una chiamata mette pressione e invita a comunicare dati o a effettuare un pagamento. Il tratto comune è la fretta.

Le attività di cybersicurezza hanno descritto campagne italiane costruite attorno a sanzioni stradali e a marchi pubblici di pagamento o notifica. Nel giugno 2026 il CERT-AGID, il gruppo dell’Agenzia per l’Italia Digitale che gestisce e condivide informazioni sugli incidenti informatici della pubblica amministrazione, ha rilevato 49 campagne di phishing in una settimana a tema multe, diffuse soprattutto via e-mail e SMS. Il dato si riferisce alle campagne osservate in quel periodo e mostra quanto spesso il tema venga usato per costruire messaggi fraudolenti.

Polizia Postale e autorità di cybersicurezza raccomandano di non seguire link o numeri contenuti in comunicazioni sospette e di verificare direttamente con l’ente interessato. Una targa, un importo o un numero di pratica plausibile possono comparire anche in una richiesta fraudolenta. Se chi chiama si presenta come un operatore, si può chiudere la telefonata e richiamare l’ufficio usando un recapito trovato in modo indipendente.

Cosa fare se il documento sembra falso

Se qualcosa non torna, sospendere il pagamento. Non serve usare il QR code per chiarire il dubbio: conservare l’avviso, fotografarlo su entrambi i lati e annotare il luogo e le circostanze in cui è stato trovato. Il documento può servire per la segnalazione e aiutare le autorità a identificare la modalità usata. Meglio non cestinarlo né inoltrare il codice ad altre persone come se fosse un canale di pagamento.

Per il caso modenese, la Polizia Locale ha indicato lo Sportello S.O.S. Truffa, gestito dalle associazioni dei consumatori, al numero verde 800 631 316. Per verificare la multa, contattare anche l’ufficio sanzioni del Comune, usando i recapiti pubblicati sul sito istituzionale. Se il foglio appare contraffatto, segnalarlo alla Polizia Locale o alle forze dell’ordine; una truffa digitale può essere segnalata anche alla Polizia Postale.

Se il QR è già stato aperto, ma non sono stati inseriti dati né scaricati file, chiudere la pagina e non concedere permessi o installazioni. Se invece sono state comunicate informazioni bancarie, contattare subito la banca tramite il numero ufficiale o l’app, chiedere il blocco della carta e segnalare eventuali operazioni sospette. Cambiare da un dispositivo sicuro le password inserite, soprattutto se vengono usate anche per altri servizi. Le schermate del sito e del messaggio possono essere conservate per agevolare la denuncia.

• Verbali sempre più realistici e QR code ovunque, le multe false sono sempre più difficili da distinguere: le soluzioni
• Una multa, poi un'altra: un'avvocata di Trieste si ritrova con 7mila euro di sanzioni sulla sua Audi senza averla guidata
• Nuovo codice della strada 2026 in consultazione: come funziona il meccanismo stessa infrazione, multa diversa