Hai mai ricevuto un’email con un codice QR allegato e il pensiero “devo solo inquadrarlo con il telefono“?
È esattamente quello su cui contano i cybercriminali. Secondo i dati di Microsoft Threat Intelligence, gli attacchi di phishing via QR code sono più che raddoppiati nel primo trimestre del 2026. Il tuo studio o la tua azienda potrebbero essere nel mirino!
Le email pericolose non sembrano più pericolose
Il problema con le minacce moderne è che si camuffano benissimo. Nel solo primo trimestre del 2026, Microsoft ha rilevato circa 8,3 miliardi di tentativi di phishing via email. Un numero enorme, che fa capire quanto sia sistematica e organizzata questa attività criminale.
Tra tutte le tecniche usate, quella che cresce più in fretta è il phishing tramite codice QR: da gennaio a marzo 2026 il volume di attacchi di questo tipo è aumentato del 146%, passando da 7,6 milioni a quasi 19 milioni.
Come funziona? Il malintenzionato invia un’email apparentemente normale — spesso con un PDF allegato — che contiene un QR code. Quando la vittima lo inquadra con lo smartphone, viene reindirizzata a un sito falso che imita una pagina di accesso Microsoft, una banca o un portale aziendale, e lì inserisce le proprie credenziali, consegnandole ai truffatori.
La tattica è furba per un motivo preciso: i filtri antispam analizzano il testo delle email, ma un’immagine con un codice QR non contiene testo leggibile. Passa, insomma, quasi inosservata. Se vuoi capire come riconoscere un’email sospetta prima ancora che arrivi a questo punto, abbiamo spiegato tutto in questo articolo: Email di phishing: cosa sono e come riconoscerle.
Anche i CAPTCHA vengono usati per ingannare
C’è un’altra tecnica in forte crescita che vale la pena conoscere: il phishing con falsi CAPTCHA. Tutti siamo abituati a vedere quei controlli “Clicca sulle immagini con i semafori” per dimostrare di non essere un robot. I criminali li hanno replicati in modo credibile per far abbassare la guardia: l’utente vede un CAPTCHA, pensa di essere su un sito legittimo e prosegue senza sospetti, finendo dritto in una pagina di furto credenziali.
Nel mese di marzo 2026 questo tipo di attacchi è più che raddoppiato (+125%), toccando il livello più alto dell’ultimo anno. E accanto al phishing classico cresce anche il Business Email Compromise — le frodi che usano email contraffatte per impersonare un fornitore o un collega e convincere qualcuno a fare un bonifico o condividere dati sensibili. Solo nel primo trimestre del 2026, Microsoft ha registrato circa 10,7 milioni di attacchi BEC.
Non si tratta di episodi isolati: sono parte di un sistema più ampio di minacce legate all’intelligenza artificiale, che abbiamo approfondito qui: 5 minacce dell’AI generativa che dovresti conoscere.
Cosa cambia per te
Per uno studio professionale o un’azienda, queste cifre non sono statistiche astratte. Significano che ogni giorno i collaboratori ricevono email progettate appositamente per sembrare legittime. Un codice QR in un’email che sembra arrivare dal commercialista, dal consulente o da Microsoft stessa è oggi uno dei vettori di attacco più efficaci, proprio perché ci si fida.
La buona notizia è che esistono soluzioni concrete, già integrate negli strumenti che usi ogni giorno, capaci di ridurre drasticamente questo rischio. Vuoi sapere quanto è esposta la tua organizzazione e cosa puoi fare subito?
Contattaci: valutiamo insieme la tua situazione e ti mostriamo come proteggere il tuo studio o la tua azienda.
