Il tuo scanner di codici QR potrebbe sapere di te più di quanto immagini
Quando scarichi uno scanner di codici QR gratuito dallo store, probabilmente stai pensando alla comodità. La privacy è l'ultimo dei tuoi pensieri. Eppure dovrebbe essere il primo.
Negli ultimi anni, ricercatori di sicurezza e sostenitori della privacy hanno scoperto ripetutamente che le più diffuse app gratuite per la scansione dei codici QR integrano pratiche aggressive di raccolta dati che la maggior parte degli utenti non nota mai. Questo articolo spiega nel dettaglio quali dati raccolgono queste app, come li utilizzano e cosa puoi fare per proteggerti.
Quali dati raccolgono davvero le app per la scansione dei codici QR?
La risposta varia da app ad app, ma i dati più comunemente raccolti dagli scanner QR finanziati dalla pubblicità sono questi:
1. I codici QR che scansioni
È il dato più sensibile e, allo stesso tempo, quello più spesso trascurato. Molte app di scansione QR registrano ogni codice che scansioni e trasmettono il contenuto decodificato a server remoti. Quel contenuto può includere password Wi-Fi (codificate in formato QR), URL private di sale riunioni, codici di conferma di appuntamenti medici, link aziendali interni o codici QR di pagamento bancario.
Quando scansioni un codice QR nello studio di un medico e quella URL viene caricata silenziosamente su un server di analisi, hai involontariamente rivelato qualcosa sulla tua salute. Quando scansioni un codice QR di pagamento e quel dato viene registrato, si tratta di una divulgazione finanziaria.
2. La tua posizione
Molte app di scansione QR chiedono l'accesso alla tua posizione GPS precisa. Apparentemente serve a «migliorare l'esperienza utente», ma nella pratica viene usato per costruire un profilo geocomportamentale: dove vai, quando scansioni codici QR in quei luoghi e che tipi di codici incontri nei diversi posti.
3. Identificatori del dispositivo
Anche senza accesso alla posizione, le app possono creare un'impronta del tuo dispositivo combinando modello, risoluzione dello schermo, versione del sistema operativo, elenco delle app installate e identificatore pubblicitario. Questa impronta resta stabile anche dopo la reinstallazione dell'app e può essere usata per seguirti attraverso più servizi.
4. Analisi comportamentale
La maggior parte degli scanner QR più diffusi integra SDK di analisi di terze parti: Firebase Analytics, Mixpanel, Amplitude, Adjust o AppsFlyer sono i più comuni. Questi SDK registrano con quale frequenza apri l'app, quali funzioni utilizzi, quanto dura ogni sessione e come interagisci con gli annunci.
5. Accesso a contatti e archiviazione
Alcune app di scansione chiedono l'accesso ai tuoi contatti e alla memoria del dispositivo. L'accesso alla rubrica permette alle app di associare la tua identità a numeri di telefono e indirizzi e-mail presenti nei database degli inserzionisti, aumentando enormemente il valore del tuo profilo.
Il problema dei pixel di tracciamento
Alcune app di scansione QR si spingono oltre e inseriscono pixel di tracciamento nelle visualizzazioni web che usano per mostrare le URL scansionate. Quando scansioni un codice QR e l'app apre la destinazione nel browser integrato, l'app può leggere i cookie, iniettare JavaScript e tracciare il tuo comportamento sul sito di destinazione, il tutto a tua insaputa.
Casi reali di problemi di privacy negli scanner QR
Nel 2020 un'app di scansione QR molto usata è stata rimossa dal Google Play Store dopo che alcuni ricercatori hanno scoperto che conteneva malware in grado di intercettare il traffico del browser. Nel 2021 alcuni ricercatori di privacy hanno rilevato che diverse app di scansione QR tra le più scaricate inviavano i dati delle URL scansionate a server situati in giurisdizioni con leggi deboli sulla protezione dei dati. Nel 2022 si è scoperto che una popolare app di scansione leggeva il contenuto degli appunti dell'utente, catturando password e testi riservati.
Com'è fatto uno scanner QR che rispetta la privacy
Uno scanner di codici QR davvero privato presenta le seguenti caratteristiche:
- Nessun permesso di accesso a internet: non può inviare dati da nessuna parte perché non può effettuare chiamate di rete
- Nessun SDK di analisi: niente Firebase, niente Mixpanel, niente AppsFlyer
- Nessun circuito pubblicitario: niente AdMob, niente Meta Audience Network
- Permessi minimi: solo la fotocamera
- Elaborazione sul dispositivo: tutta la decodifica avviene in locale, non viene trasmesso nulla
- Nessun account richiesto: non esiste un'identità a cui collegare la cronologia delle scansioni
QR Code Reader Without Ads: costruito per la privacy fin dalle fondamenta
QR Code Reader Without Ads è stato progettato esattamente secondo questi principi. L'app non ha il permesso di accesso a internet — letteralmente non può effettuare una chiamata di rete — il che rende architetturalmente impossibile che invii i dati delle tue scansioni a un server qualsiasi. Non ci sono SDK pubblicitari, né librerie di analisi, né pixel di tracciamento.
Il motore di decodifica QR funziona interamente sul tuo dispositivo utilizzando librerie open source consolidate. Quando scansioni un codice QR che contiene una URL, l'app te la mostra affinché tu possa controllarla prima di aprirla nel tuo browser predefinito.
Non è richiesto alcun account. Non esiste una schermata di registrazione. La cronologia delle tue scansioni resta sul tuo dispositivo.
Pronto a passare a uno scanner QR privato? Scarica gratis QR Code Reader Without Ads:
Scarica su Google Play: gratis, senza pubblicità, senza tracciamento
Disponibile anche su iPhone e iPad:
Scarica sull'App Store: gratis, senza pubblicità, senza tracciamento
Come verificare la privacy del tuo scanner QR attuale
Se non sei ancora pronto a cambiare app, ecco come valutare la privacy del tuo scanner QR attuale:
- Controlla i permessi dell'app: vai su Impostazioni → App → [il tuo scanner] → Autorizzazioni. Se ha accesso a Posizione, Contatti o Archiviazione senza un motivo funzionale chiaro, è un campanello d'allarme.
- Leggi l'informativa sulla privacy: cerca espressioni come «partner terzi», «circuiti pubblicitari» e «condivisione dei dati».
- Usa un monitor di rete: strumenti come NetGuard (Android) mostrano con quali domini comunicano le tue app.
- Consulta il database di Exodus Privacy: Exodus Privacy analizza gli APK Android ed elenca ogni tracker e ogni permesso presente in ciascuna app.
In conclusione
I codici QR sono ovunque: menu dei ristoranti, biglietti per eventi, terminali di pagamento, confezioni dei prodotti e moduli medici. Ogni volta che ne scansioni uno, potresti rivelare informazioni su dove ti trovi e su cosa stai facendo. L'app di scansione che scegli determina se quelle informazioni restano private oppure vengono silenziosamente monetizzate.
Fai il cambio. Scarica subito QR Code Reader Without Ads: