QR Code su un sito: idioti o mascalzoni?

Una mia conoscente oggi mi ha chiamato per mostrarmi un problema sul telefono. Da quando le ho consigliato di usare Brave, le capita abbastanza spesso.
In sostanza, Brave si rifiutava di aprire un sito senza SSL (cioè in http e non in https). E fin qui, tutto normale. Anche se ormai sono una minoranza, ci sono ancora parecchi siti senza SSL.
Il vero problema salta fuori quando le chiedo dove ha preso il link. Ebbene: veniva da un QR Code. E il QR Code era su un sito, visitato da un computer. Quindi, il sito invitava ad andare su un’altra pagina, ma invece di fornire un banale link (o magari un bel bottone), esponeva un QR Code da inquadrare col telefono.

Ora. Quale mai può essere la ragione per forzare in modo così palese l’utente a usare il telefono invece del computer?

Due opzioni: o sono degli idioti, oppure sono dei mascalzoni.

I telefoni, specialmente quelli maneggiati da chi non è esattamente addentro alle cose tecnologiche, sono pieni di falle, buchi e vulnerabilità varie. E da lì, gli eventuali mascalzoni riescono a prendersi dati e informazioni che valgono ben più dei pochi euro di sconto promessi.

E questo se l’azienda si limita a essere “mascalzona”. Se invece decidesse di fare il salto dalla mascalzonata alla “delinquenza” pura, potrebbe provare a infilare malware, o peggio.
Non credo che l’azienda in questione lo faccia, ma affidarsi all’onestà altrui non è esattamente una buona politica di sicurezza.

In questo caso, l’assenza di SSL nella landing page incriminata ha fermato la mia amica.

Questo piccolo difetto tecnico, in effetti, farebbe pendere la bilancia verso l’ipotesi “idioti”. A meno che l’assenza di SSL non sia voluta proprio per avere “mani libere”, ma non credo.

Non credo nemmeno sia il caso di mostrare lo screenshot della pagina col QR Code. Tanto per capirci, non si tratta di una startup improvvisata. Il brand in questione è un player grosso (top 10 nel suo segmento di mercato) e il gruppo che lo controlla sfiora il miliardo di euro di fatturato.
È molto probabile che certe scelte non le faccia direttamente l’azienda. Verosimilmente la “colpa” è dell’agenzia che li segue. E comunque, già me l’immagino lo stuolo di avvocati che non vedono l’ora di avventarsi alla giugulare del povero estensore di queste righe.

Però ecco, fa rabbia. Io studio la notte per scrivere una privacy policy a prova di GDPR per un sito da mille accessi al mese, e altri, con un traffico mille volte superiore, con fatturati da multinazionale si permettono un’attenzione alla privacy degna di una bancarella alla sagra della polenta.

In conclusione, una raccomandazione: se mi portate le arance in galera, che siano “tarocco”. Le “valencia” posso anche sopportarle, ma le “navel” proprio no. E in ogni caso, non inquadrate QR Code a casaccio. È una roulette russa che non vi consiglio.