In questo articolo
Da qualche parte su una terrazza, in un food hall o a un tavolo vicino alla finestra, oggi qualcuno sta incollando un adesivo sopra un QR code che era già lì. Stavolta non su un parcometro — ma sul codice che i tuoi clienti usano per aprire il menu, ordinare o pagare il conto. La domanda non è se questo possa succedere. La domanda è quanto spesso sta già succedendo, perché quasi nessuno se ne accorge, e quanto costa davvero rispetto a quanto costa la soluzione.
Quattro anni fa, quasi nessun ristorante aveva un QR code sul tavolo. Oggi la maggior parte ne ha almeno uno: per il menu, per ordinare e, in un numero crescente di locali, anche per pagare il conto. Questo cambiamento è avvenuto a una velocità incredibile, e nel frattempo quasi nessuno si è fermato a farsi una domanda semplice: come fa un cliente a sapere davvero che l'adesivo che sta scansionando è proprio il tuo?
La risposta onesta è: non lo sa. Un QR code è un motivo bianco e nero senza alcun mittente riconoscibile — niente logo, nessuna barra degli indirizzi da controllare, nessun istinto del tipo "ma questo è affidabile?" come per un link sospetto in un'email. Ed è proprio questo che lo rende il bersaglio perfetto per quello che i ricercatori di cybersicurezza chiamano "quishing": QR code più phishing.
Questo articolo non parla dei vantaggi dell'ordinazione tramite QR code — sono già trattati altrove su questo sito, e sono vantaggi reali. Parla di cosa succede quando qualcun altro, non tu, incolla un adesivo sul tuo tavolo — è la controparte fisica della guida alla cybersicurezza già pubblicata su questo sito, che riguarda come proteggere i tuoi sistemi: questo è un attacco che non tocca né il tuo Wi-Fi né la tua cassa, ma solo il pezzetto di carta sul tavolo 4.
Sette numeri, in quest'ordine: perché questo problema esiste solo adesso, come funziona in pratica lo scambio, perché i tuoi clienti non lo vedono, quanto costa in media un adesivo scansionato, il calcolo che lo rende conveniente per un truffatore, cosa dicono già polizia e autorità in merito, e la soluzione che non costa quasi nulla.
Perché "è solo un adesivo" mantiene vivo il problema
La maggior parte dei locali non ha alcuna routine per controllare i propri QR code, per lo stesso motivo di un cliente che se ne va senza pagare: non ci si è mai pensato esplicitamente. Un adesivo viene attaccato una volta, all'apertura, e da quel momento nessuno lo guarda più — a meno che non si stacchi o si sporchi.
È esattamente questa la finestra in cui vive questa truffa. Un adesivo sostitutivo, dello stesso colore e più o meno delle stesse dimensioni dell'originale, non si nota durante un servizio affollato — non lo nota il cliente, non lo nota il cameriere che passa con quattro piatti alla volta, e non lo nota il titolare, impegnato a gestire la sala invece che a ispezionare ogni tavolo.
Il resto di questo articolo si basa su ciò che si sa davvero: perché questa superficie d'attacco esiste solo adesso, come funziona in pratica lo scambio, quanto costa quando le cose vanno male, e l'unica abitudine che riduce il rischio più in fretta — non un nuovo sistema, ma un QR code che non è facile da sostituire.
Guida gratuita Tutto il digitale del tuo locale, in un'unica guida Dall'ordinazione tramite QR alla cybersicurezza — la guida completa al lato digitale del tuo ristorante. Leggi la guida7 numeri che la maggior parte dei locali non ha mai cercato
Ognuno di questi numeri regge da solo, e proviene da una fonte ufficiale o da una ricerca pubblicata — nessun numero qui sotto è una stima di questo sito. Insieme spiegano perché un adesivo QR non è decorazione, ma un pezzo di infrastruttura di pagamento che merita la stessa attenzione della tua cassa.
1. Perché questo problema esiste solo adesso
Prima del 2020, questa superficie d'attacco quasi non esisteva: i QR code sui tavoli dei ristoranti erano una curiosità, non un'infrastruttura. Le cose sono cambiate. Oggi, nel mondo, il 75% dei ristoranti usa un QR code per il menu, per ordinare o per pagare — un cambiamento avvenuto in meno di cinque anni.
Ogni QR code che aggiungi è un altro pezzo di fiducia che chiedi a un cliente, senza che lui possa verificare dove porta. Con un solo adesivo sul tavolo, è un rischio limitato. Con un menu, un pulsante per ordinare e un link di pagamento, sono tre occasioni diverse che un truffatore può cogliere.
Non è un motivo per rinunciare ai QR code — la comodità e il risparmio sono reali, e questo sito ne ha già parlato a parte. È però il motivo per cui vale la pena leggere il resto di questo articolo: la superficie d'attacco è nuova, e nella maggior parte dei locali le abitudini per proteggerla ancora non lo sono.
Quattro numeri, ciascuno da una fonte diversa — insieme, il motivo per cui oggi un adesivo QR è un bersaglio più attraente di quanto lo fosse cinque anni fa.
Fonti: KeepNet Labs / CNBC (luglio 2025) per i dati su crescita e rilevamento; dati sull'adozione del QR code da ricerche di settore sull'uso dei QR nei ristoranti, 2025.
2. Come funziona in pratica lo scambio
Il metodo è sorprendentemente semplice, ed è proprio questo che lo rende efficace: un truffatore stampa un adesivo con un proprio QR code, più o meno delle stesse dimensioni e su un materiale simile all'originale, e lo incolla semplicemente sopra il codice esistente. Nessuna effrazione, nessuna conoscenza tecnica dei tuoi sistemi — basta l'accesso al tavolo per il tempo necessario ad attaccare un'etichetta.
La Polizia Federale belga ha lanciato un avviso esplicito dopo che i parchimetri di Bruxelles sono stati colpiti esattamente in questo modo: un adesivo falso sopra il vero QR code, che reindirizzava gli utenti verso una falsa pagina di pagamento. L'FTC statunitense e il NYC Department of Transportation hanno emesso avvisi quasi identici dopo incidenti simili su parchimetri e colonnine di ricarica elettrica.
I tavoli dei ristoranti sono nella stessa lista di bersagli, insieme a menu, locandine e terminali di pagamento — ovunque un QR code possa restare incustodito per un po'. Il meccanismo è sempre lo stesso: il cliente scansiona quello che crede essere l'originale, e finisce su una pagina costruita per sembrare identica.
3. Perché i tuoi clienti non lo vedono
Un QR code non rivela la sua destinazione prima che tu lo scansioni. Con un link in un'email puoi passarci sopra il mouse e vedere l'URL reale — con un quadratino bianco e nero su un adesivo, semplicemente non puoi. Il telefono, inoltre, si fida più in fretta di un link aperto tramite fotocamera che dello stesso link in un'email, proprio perché scansionare un QR code dà la sensazione di un gesto fisico e "sicuro".
Una ricerca sul comportamento dei consumatori riguardo al quishing, analizzata da CNBC sulla base di dati FBI, FTC e di agenzie statali, mostra che solo il 39% delle persone riconosce un QR code contraffatto prima di scansionarlo. In altre parole: il 61% non vede alcuna differenza tra il tuo vero adesivo e quello che qualcuno vi ha incollato sopra.
Non è una questione di clienti distratti. Un adesivo dall'aspetto identico, nello stesso punto e con la stessa sensazione di "scansionami", è progettato per sfruttare esattamente quella fiducia — su un cliente attento tanto quanto su uno frettoloso.
4. Quanto costa in media un adesivo scansionato
Quando un cliente scansiona il codice falso, succede una di due cose. La pagina somiglia a una schermata di pagamento e chiede i dati della carta, che finiscono direttamente al truffatore — così il conto non viene mai pagato a te, mentre il cliente crede di aver pagato. Oppure la pagina imita il tuo menu o il tuo sistema di ordinazione e raccoglie silenziosamente credenziali o dati personali usati in seguito per furti d'identità.
Un'analisi di CNBC basata su dati FBI, FTC e di agenzie statali (luglio 2025) stima la perdita media per vittima di quishing in 1.225 $ — circa 1058 € al cambio. È l'importo per scansione riuscita, non per locale: un solo tavolo vulnerabile può essere colpito più volte prima che qualcuno se ne accorga.
Per il tuo locale, il danno è doppio. Il conto "pagato" tramite la pagina falsa non arriva mai sul tuo conto — e il cliente che si sente truffato dà la colpa a te, non al truffatore che ha attaccato l'adesivo. Questa seconda parte, la fiducia del cliente, non compare in nessuna contabilità, ma spesso è quella che pesa di più.
5. Il calcolo che lo rende conveniente per un truffatore
Stampare e plastificare un adesivo falso costa a un truffatore appena qualche euro — lo stesso materiale e la stessa stampante usati per un adesivo vero. A fronte di una perdita media di oltre mille euro per scansione riuscita, è un rendimento che poche altre forme di truffa riescono a eguagliare.
Questo calcolo spiega anche perché il quishing cresce così in fretta. Secondo i dati dell'azienda di cybersicurezza KeepNet Labs, citati da CNBC, gli attacchi di quishing sono aumentati del 587% dal 2023 — indicati dallo stesso FBI come la forma di phishing in crescita più rapida. Nel frattempo, il 26% di tutti i link malevoli viene ormai inviato tramite un QR code, non più tramite una classica email di phishing.
Per un truffatore, un QR code sul tavolo di un ristorante è esattamente il bersaglio giusto: economico da falsificare, difficile da distinguere dall'originale, e con la garanzia che verrà scansionato da più persone nel corso di un solo servizio.
Quanto costa la truffa a un criminale, rispetto a quanto costa a una vittima — con la protezione da qualche parte in mezzo.
L'ultima barra è la perdita media per scansione di quishing riuscita (CNBC, luglio 2025), convertita nella tua valuta. Le prime due sono cifre indicative dell'ordine di grandezza, non un listino prezzi esatto.
6. Cosa dicono già polizia e autorità in merito
Non è uno scenario ipotetico inventato da questo sito — è un problema che i governi riconoscono esplicitamente. L'FBI statunitense ha lanciato il primo avviso nel gennaio 2022 su criminali che manomettono i QR code per reindirizzare le vittime verso siti dannosi, e ha ripetuto quell'avviso più volte da allora, l'ultima nel 2025.
Più vicino a casa, la Polizia Federale belga ha lanciato un avviso esplicito sul "quishing" dopo che i parchimetri di Bruxelles sono stati colpiti in questo modo, e il FOD Economie (l'autorità belga per gli affari economici) ha pubblicato una propria pagina per i consumatori sui QR code usati per "pagare" una fattura falsa. Entrambi gli enti citano nella stessa frase tavoli di ristorante, parchimetri e terminali di pagamento come punti vulnerabili.
Questo livello di riconoscimento ufficiale è di per sé un numero degno di nota: quando sia l'FBI statunitense sia la Polizia Federale belga descrivono, in modo indipendente l'uno dall'altro, esattamente lo stesso metodo, non si tratta di un episodio isolato — è uno schema di truffa consolidato a cui il tuo locale dovrebbe essere preparato.
7. La soluzione che non costa quasi nulla
La protezione più economica è la più semplice: smetti di lasciare il tuo QR code come un adesivo sostituibile. Fallo plastificare nel piano del tavolo, incidilo su un espositore, oppure stampalo direttamente sul menu invece che come adesivo staccato — qualsiasi soluzione che renda visibile un adesivo incollato sopra fa gran parte del lavoro.
Il secondo livello non costa alcun materiale, solo un'abitudine: inserisci il controllo di ogni QR code da tavolo nel tuo giro di apertura e chiusura. Questo sito ne ha già parlato a parte — è esattamente il tipo di controllo breve e ricorrente per cui esiste quella checklist, e un adesivo incollato sopra un altro salta subito all'occhio con uno sguardo mirato.
La terza opzione, per chi comunque preferisce lavorare con adesivi staccati: un QR code dinamico che cambia a ogni ordine o ogni giorno, generato direttamente dalla tua cassa invece che stampato una volta sola e riutilizzato per anni. Un codice che domani non sarà più valido non è più un bersaglio interessante per un truffatore.
Fai i conti per il tuo locale
Inserisci i tuoi numeri. La percentuale di incidenti è impostata di default su un'ipotesi prudente — non esiste una frequenza affidabile per ristorante per questo tipo di truffa, quindi è un esercizio di riflessione, non una previsione.
Non è contabilità: il punto non è la cifra esatta, ma se la colonna "esposizione" supera la colonna "protezione" con le ipotesi realistiche per il tuo locale.
Esposizione annuale rispetto al costo per prevenirla
Inserisci i tuoi numeri — il resto si calcola da solo.
—
Percentuale di incidenti predefinita: 1% delle settimane — un'ipotesi prudente, non una frequenza misurata. Sostituiscila pure con la tua stima.
Questo è un esercizio di riflessione con i tuoi numeri, non una garanzia contabile — sostituisci ogni ipotesi con la tua esperienza.
Ciò che lo strumento non misura: la fiducia del cliente che si sente truffato e dà la colpa al tuo locale, non al truffatore che ha attaccato l'adesivo. Vedi il numero 4 qui sopra — quella parte del danno non compare in nessuna contabilità.
E ciò che non sostituisce mai: il numero 7 resta valido qualunque sia il risultato del calcolo — un QR code che non è facile da sostituire costa, in ogni scenario, meno della sola protezione calcolata da questo strumento.
Come risolverlo già da domani, senza un sistema tutto nuovo
Tre passi, in quest'ordine — non perché il resto non conti, ma perché questi tre hanno l'effetto più rapido su quanto ti costa davvero un QR code falsificato.
1. Rendi ogni QR code difficile da sostituire
- Plastifica, incidi o stampa i tuoi QR code direttamente sul materiale — mai come adesivo staccato attaccato in fretta un giorno qualsiasi.
- Fai lo stesso per ogni codice fuori dal tavolo: menu, locandine e il terminale di pagamento stesso.
- Un codice che si danneggia visibilmente se qualcosa viene incollato sopra diventa subito un bersaglio meno attraente.
2. Inserisci il controllo in una routine che esiste già
- Aggiungi "controllare i QR code" al tuo giro di apertura e chiusura — vedi la checklist qui sopra.
- Basta un'occhiata veloce per tavolo mentre lo si prepara; un adesivo incollato sopra un altro salta subito all'occhio.
- Ripeti lo stesso controllo su locandine e terminali di pagamento, non solo sui tavoli.
3. Confronta il costo con la protezione, non con un singolo incidente
- Usa la calcolatrice qui sopra con i tuoi volumi di ordini e il tuo conto medio.
- Confronta quella cifra con quanto costerebbero plastificazione, incisione o un codice dinamico dalla tua cassa.
- Ripeti il calcolo ogni volta che la tua quota di ordini o pagamenti tramite QR cresce in modo evidente.
La risposta breve
Un QR code manomesso sul tuo tavolo non è uno scenario tirato per i capelli — è uno schema di truffa che FBI, Polizia Federale belga e FOD Economie hanno confermato ciascuno in modo indipendente, e che cresce proprio perché i ristoranti stessi sono passati in massa ai QR code.
Il danno è doppio: il conto che non arriva mai a te, e il cliente che perde fiducia in un locale che non c'entrava nulla. Entrambe le parti contano, anche se solo una compare in una contabilità.
La soluzione è piccola rispetto a quello che previene: rendi i tuoi QR code difficili da sostituire, e inserisci il controllo in un giro che fai già comunque.