QR-codes zijn overal; op restauranttafels, op parkeermeters, in bezorgberichten en zelfs in e-mails op het werk. De meeste mensen scannen ze zonder erover na te denken. Maar dat gemak is precies waar cybercriminelen op rekenen.
Quishing is een snelgroeiend type cyberaanval waarbij QR-codes worden gebruikt om nietsvermoedende slachtoffers te verleiden tot het afstaan van wachtwoorden, betaalgegevens of persoonsgegevens. Laten we daarom nader bekijken hoe quishingaanvallen eruitzien en hoe je jezelf ertegen kunt beschermen.
Wat is quishing?
Quishing (QR-codephishing) is een type phishingaanval waarbij cybercriminelen QR-codes gebruiken die slachtoffers naar nepwebsites leiden of hen verleiden om malware te downloaden. Het wordt ook wel QR-codephishing, QR-phishing of simpelweg QR-codefraude genoemd.
Een QR-code (Quick Response) is een tweedimensionale streepjescode die met de camera van een telefoon kan worden gescand. Er kunnen URL’s en links in worden opgeslagen naar betaalinstructies, contactgegevens, wifi-inloggegevens en meer. Het is superhandig: richt je telefoon, scan en klaar. Maar datzelfde gemak maakt QR-fraude juist zo gevaarlijk.
In tegenstelling tot een gewone link verbergt een QR-code zijn bestemming. Het vertrouwen dat men heeft in QR-codes en het ontbreken van een zichtbare URL voorat er wordt gescand zijn precies waar cybercriminelen misbruik van maken bij quishingaanvallen. Je ziet pas waar je naartoe gaat als je er al bent.
Maar waar zijn de aanvallers eigenlijk op uit? Ongeveer 90% van de quishinggevallen¹ is erop gericht om gevoelige gegevens te stelen, zoals inloggegevens, creditcardnummers, banktoegang en persoonsgegevens die kunnen worden gebruikt voor identiteitsdiefstal. Sommige aanvallen richten zich ook op het installeren van malware voor aanhoudende fraude.
Hier is een eenvoudig voorbeeld van quishing in de praktijk: je ziet een QR-code op een parkeerbord, scant deze om te betalen en komt terecht op een realistisch ogende pagina die om je kaartgegevens vraagt. De pagina is echter nep en je geld en kaartgegevens gaan rechtstreeks naar oplichters.
Hoe werkt een quishingaanval?
Begrijpen hoe quishingaanvallen werken, helpt om ze te herkennen voordat er schade wordt aangericht. Een typische quishingaanval volgt een duidelijke volgorde:
- Een val opzetten: de aanvaller registreert een frauduleus domein dat een vertrouwd merk nabootst, zoals een bank, koeriersdienst of zakelijk inlogportaal, en bouwt een overtuigende phishingsite.
- De code genereren: de oplichter maakt een aangepaste QR-code aan die naar die kwaadaardige site linkt. Soms leidt deze via URL-verkorters of legitieme omleidingsdiensten om de uiteindelijke bestemming te verhullen.
- De quishingcode verspreiden: de crimineel voegt de kwaadaardige QR-code toe aan e-mails, flyers, berichten op sociale media of pdf-bijlagen, of plakt fysieke stickers over legitieme QR-codes in de openbare ruimte.
- Het slachtoffer lokken: het bericht rond de code speelt in op gemak of emotionele manipulatie zoals urgentie, angst of verleidelijke aanbiedingen, waardoor mensen worden aangespoord de code direct te scannen.
- Gegevens verzamelen of malware verspreiden: wanneer het slachtoffer de phishingsite opent, wordt er gevraagd om inlog- of betaalgegevens. Als je doet wat de site vraagt en die gegevens verstrekt, kan dat helaas tot diefstal van inloggegevens of financiële fraude leiden. Als de phishingsite een bestandsdownload start, installeer je mogelijk onbedoeld malware op je apparaat.
“Zelfs privacybewuste gebruikers die routinematig e-mailheaders en sms-links controleren, blijven volledig kwetsbaar omdat quishing misbruik maakt van fysiek, ruimtelijk vertrouwen. Je verwacht immers QR-codes aan te treffen op parkeerautomaten, laadpalen voor elektrische voertuigen, verkoopautomaten en geldautomaten. Ze scannen is simpelweg veel handiger dan een URL van 50 tekens overtypen.
Het probleem is dat cybercriminelen dol zijn op elke functie die een bestaand proces verhult, verbergt en vereenvoudigt. Het fysiek overplakken van legitieme stickers met frauduleuze vinylstickers is een uitstekende (en ongelooflijk goedkope) manier om je kritische denkvermogen en digitale spamfilters volledig te omzeilen.”
– Miguel Fornes, Information Security Manager bij Surfshark
Waarom QR-codes aan e-mailbeveiliging ontsnappen
Quishingaanvallen omzeilen traditionele e-mailbeveiligingsfilters vaak doordat de URL is ingebed in een afbeelding in plaats van in klikbare tekst. De meeste e-mailbeveiligingsoplossingen scannen op verdachte tekstlinks en bekende kwaadaardige domeinen, maar ze ontcijferen standaard geen QR-codes in afbeeldingen of pdf-bijlagen.
Tussen juni en september 2024 ontdekte Barracuda Networks meer dan een half miljoen phishing-e-mails met QR-codes die verborgen zaten in pdf’s. Van de merken die bij deze quishingaanvallen werden geïmiteerd, is Microsoft goed voor 51% en Docusign voor 31%².
Veelvoorkomende quishingfraude, voorbeelden en waar je op moet letten
QR-phishing kent vele vormen, maar de social engineering-patronen herhalen zich: urgentie, angst en gemak. Laten we bekijken hoe aanvallers QR-codes inzetten via zowel digitale kanalen (e-mails, sms-berichten, sociale media) als fysieke locaties (parkeerautomaten, restauranttafels, bezorgbriefjes).
Valse QR-codes voor betalen/parkeren
Oplichters gebruiken valse parkeer-QR-codes om betaalgegevens te stelen. De methode is eenvoudig: criminelen printen QR-stickers en plakken deze over legitieme QR-codes op betaalautomaten of parkeerborden in drukke gebieden.
Zo werden er frauduleuze QR-codestickers ontdekt op meer dan twintig parkeerautomaten in Austin, Texas, en soortgelijke parkeerfraude werd gemeld in San Antonio³. In het VK waarschuwt de CFEU (Counter Fraud and Enforcement Unit) dat oplichters valse QR-codes op parkeerborden en automaten plakken om legitieme betaalplatforms zoals PayByPhone na te bootsen, met als doel bankgegevens te stelen en identiteitsfraude te plegen⁴.
Het IC3 (Internet Crime Complaint Center) van de FBI ziet ook een toename in oplichters die QR-codes gebruiken om slachtoffers naar fysieke crypto-geldautomaten te sturen, om zo snel betalingen te voltooien voor dating-, loterij- en identiteitsfraude⁵.
Dit is wat onze Information Security Manager, Miguel Fornes, adviseert:
Waarschuwingssignalen om op te letten:
- Ga met je duimnagel langs de rand van de QR-code. Legitieme codes zijn direct op de metalen of kunststof behuizing gedrukt. Voel je een duidelijke of opstaande rand, breek de transactie dan af;
- Is de sticker op een onhandige, niet-ergonomische of niet-gecentreerde plek geplakt? Legitieme bedrijven ontwerpen hun fysieke interfaces zo dat ze centraal en intuïtief zijn geplaatst;
- Een smetteloze, spierwitte, pas geprinte QR-sticker op een zwaar bekraste, door de zon verbleekte, oude parkeerautomaat is een overduidelijk waarschuwingssignaal;
- Als je toch een code scant en merkt dat het URL-voorbeeld snel heen en weer springt tussen verschillende domeinen of verkorters (zoals bit.ly) voordat de uiteindelijke betaalpagina wordt geladen, sluit de browser dan onmiddellijk.
Valse meldingen over pakketbezorging en 'opnieuw plannen'
Bezorgmeldingen gebruiken vaak QR-codes om door te verwijzen naar phishingsites. Deze komen binnen als briefjes aan de deur, flyers of e-mails waarin een ‘gemiste bezorging’ van een bekende koerier wordt gemeld. Het scannen van de QR-code leidt naar een nepportaal waar om een kleine ‘vergoeding voor opnieuw bezorgen’ plus volledige kaartgegevens wordt gevraagd.
De FBI waarschuwt ook dat criminelen nu ongevraagde pakketjes verzenden zonder afzendergegevens – een variant van reviewfraude – met daarin QR-codes die ontvangers aansporen om persoons- en financiële gegevens in te voeren of ongemerkt malware te downloaden⁶.
Waarschuwingssignalen om op te letten:
- Tijdsdruk om te voorkomen dat het pakket wordt teruggestuurd;
- Vage trackingnummers;
- Generieke namen van vervoerders.
Als je zo’n melding ontvangt, ga dan rechtstreeks naar de officiële app of website van de koerier in plaats van de bijgevoegde QR-code te scannen.
Valse facturen en e-mails over salarisadministratie
Mensen ontvangen quishing-e-mails op het werk, vaak met valse facturen, salarisupdates of betalingsbevestigingen van leveranciers met daarin een QR-code ‘om het beveiligde document te bekijken’. Deze codes leiden naar nagemaakte inlogpagina’s van Microsoft of Google die zijn gemaakt om inloggegevens te stelen. Omdat de link in de afbeelding verborgen zit, glippen deze e-mails door veel e-mailbeveiligingsfilters heen.
Waarschuwingssignalen om op te letten:
- Afwijkende of gelijkende afzenderdomeinen;
- Grote urgentie en druk om snel actie te ondernemen;
- Onverwachte wijzigingen in financiële of salarisadministratie zonder voorafgaande communicatie of toestemming.
Gemanipuleerde QR-codes voor restaurantmenu's
Valse QR-codes kunnen legitieme menucodes in restaurants vervangen. Aanvallers plakken subtiele stickercodes over de echte codes op tafels of posters. Na het scannen word je mogelijk naar een frauduleuze menusite geleid.
Waarschuwingssignalen om op te letten:
- Inloggen via sociale media;
- Verzoeken om kaartgegevens om een tafel te reserveren;
- Verzoeken om een app te installeren.
Als een QR-code voor een restaurantmenu om persoonsgegevens, inloggegevens of betaalgegevens vraagt, sluit de pagina dan onmiddellijk.
Valse verzoeken om accountverificatie en wachtwoordherstel
QR-codes kunnen worden gebruikt om beveiligingswaarschuwingen voor accounts na te bootsen om gegevens te stelen. In deze phishing-e-mails of -brieven wordt melding gemaakt van een spoedige accountopschorting of verdachte activiteiten, waarna je wordt gevraagd ‘je account te verifiëren door deze QR-code te scannen’, waarbij een nagemaakte inlogpagina wordt geopend.
Legitieme aanbieders gebruiken zelden QR-codes om accountproblemen op te lossen. Ga rechtstreeks naar de officiële website of app door een bekende en vertrouwde URL in te voeren.
Waarschuwingssignalen om op te letten:
- Niet-overeenkomende webadressen of afzenderdomeinen;
- Opgedrongen urgentie om direct te scannen en te verifiëren;
- Ongebruikelijke toestemmings- of inlogverzoeken.
Wie is het voornaamste doelwit van quishing?
Quishingfraude kan iedereen treffen die QR-codes scant, maar sommige groepen lopen een groter risico om slachtoffer te worden:
- Dagelijkse consumenten die QR-codes gebruiken voor betalingen, het openen van menu’s, het kopen van evenementtickets en toegang tot openbare wifi – mensen beschouwen QR-codes vaak als een veilig en handig hulpmiddel voor eenvoudige taken, waardoor ze minder snel twijfelen aan wat ze scannen;
- Kantoormedewerkers en extern personeel die quishing-e-mails ontvangen vermomd als mededelingen van de IT-, HR- of financiële afdeling (volgens Abnormal Security hadden directieleden in de eerste helft van 2024 42 keer meer kans om doelwit te worden van QR-codeaanvallen dan de gemiddelde werknemer⁷);
- Kleine en middelgrote bedrijven die afhankelijk zijn van QR-codes voor marketing en facturatie, maar vaak geen gedegen training in beveiligingsbewustzijn hebben;
- Hoogwaardige sectoren zoals de financiële sector, de gezondheidszorg en de overheid, waar een datalek financiële gegevens, patiëntendossiers of geheime informatie kan blootstellen;
- Technisch vaardige gebruikers zijn evenmin immuun; quishing maakt misbruik van vertrouwen in de fysieke context en van gemak, niet van technische onwetendheid.
Een quishingaanval herkennen
Het herkennen van een quishingaanval vraagt het opmerken van meerdere aanwijzingen rond de QR-code, zoals dringend taalgebruik, een onbekende afzender, een vreemd domein en wat er direct na het scannen gebeurt.
Verdachte of onverwachte QR-codes
Wees op je hoede voor QR-codes die onverwacht binnenkomen via e-mail, berichtenapps of gedrukte flyers op je auto of in je brievenbus. Indicatoren van een quishingaanval zijn onder meer berichten die aandringen op direct scannen. Legitieme organisaties sturen zelden QR-codes als enige manier om een probleem op te lossen of toegang te krijgen tot hun diensten.
Scan geen QR-codes van een onbekende afzender en neem bij twijfel contact op met de vermeende afzender via een officieel kanaal.
Fysieke sporen van manipulatie of vreemde plaatsing
Aanvallen kunnen gepaard gaan met fysieke manipulatie, waarbij aanvallers valse QR-stickers over legitieme codes plakken. Let goed op het volgende voordat je de QR-code op een openbaar bord of een tafel scant:
- Stickers die over bestaande codes zijn geplakt of loslatende randen;
- Afwijkende lettertypen, kleuren of merkuitingen in vergelijking met borden in de buurt;
- Codes die op willekeurige oppervlakken zijn aangebracht, zoals lantaarnpalen of liftwanden.
Controleer vóór het scannen of er met QR-codes is geknoeid; officiële locaties hebben meestal consistente merkuitingen en duidelijke instructies naast legitieme QR-codes.
Vreemde URL's, verkorte links of toestemmingsverzoeken
Controleer altijd het URL-voorbeeld dat je telefoon na het scannen toont voordat je op openen tikt. Wees voorzichtig met QR-codes in berichten die een gevoel van urgentie creëren of het volgende vertonen:
- Spelfouten, willekeurige tekens of onbekende domeinen;
- Verkorte URL’s van onbekende afzenders;
- Directe verzoeken om inloggegevens, creditcardgegevens of appmachtigingen.
Als je browser of beveiligingssoftware een waarschuwing toont, of als er iets niet pluis voelt aan de site, sluit de pagina dan meteen.
Jezelf beschermen tegen quishing
Je hoeft QR-codes niet volledig te vermijden; behandel elke code gewoon als een onbekende link totdat het tegendeel is bewezen. De meeste quishingaanvallen kunnen worden gestopt door voorzichtige gewoonten te combineren met basisbeveiligingstools:
Veiligere scangewoonten
- Scan geen QR-codes in ongevraagde e-mails, sms’jes of berichten op sociale media, maar ga rechtstreeks naar officiële webpagina’s of apps voor betalingen, bezorgingen en accountkwesties;
- Verifieer QR-codes op fysieke locaties door het personeel te vragen of te vergelijken met afgedrukte URL’s op dezelfde poster of bon;
- Gebruik apps voor het scannen van QR-codes die een voorbeeld van de URL tonen voordat deze wordt geopend; dit geeft je de kans om te controleren of de bestemming een vertrouwde URL is;
- Controleer de URL voordat je persoonsgegevens invoert; typ bij het inloggen of betalen handmatig een bekende en vertrouwde URL in plaats van te scannen.
Technische bescherming en tools
- Houd je besturingssystemen, browsers en apps bijgewerkt, zodat bekende kwetsbaarheden en kwaadaardige websites eerder worden geblokkeerd;
- Schakel MFA (meervoudige verificatie) in voor belangrijke accounts; zelfs als een wachtwoord wordt gestolen, maakt MFA het voor aanvallers veel lastiger om binnen te dringen;
- Gebruik betrouwbare beveiligingssoftware op mobiele apparaten om kwaadaardige websites en downloads te blokkeren;
- Voeg een extra beschermingslaag tegen phishing-e-mails toe voordat je überhaupt iets scant, met tools zoals Surfsharks e-mailscamdetector. Deze markeert e-mails met urgent taalgebruik, controleert bijgevoegde links en analyseert afzendergegevens, zodat je wordt gewaarschuwd voor signalen van potentiële oplichting (beschikbaar voor je Gmail-inbox in de Chrome-extensie).
Wat te doen als je een kwaadaardige QR-code hebt gescand
Snel handelen beperkt de schade. De belangrijkste stap is om direct te stoppen met interactie op de verdachte site. Wat je vervolgens moet doen, hangt af van hoe ver de interactie ging.
Als je alleen hebt gescand, maar geen gegevens hebt ingevoerd
Alleen het bezoeken van een phishingsite zonder verdere interactie is minder gevaarlijk, maar blijf alert.
- Sluit het browsertabblad meteen.
- Tik niet op knoppen of downloadmeldingen.
- Wis je browsergeschiedenis en cache die verband houden met de verdachte site.
- Let de komende dagen op pop-ups, vertragingen of vreemd gedrag.
- Controleer de applijst op je telefoon en verwijder onmiddellijk elke app die vlak na het scannen is geïnstalleerd.
Als je een wachtwoord of persoonsgegevens hebt ingevoerd
Slachtoffers kunnen na het scannen worden misleid om persoonsgegevens te verstrekken, dus snel handelen is cruciaal om te voorkomen dat quishingaanvallen escaleren.
- Wijzig het gecompromitteerde wachtwoord onmiddellijk, voor de betreffende dienst en op alle andere accounts waar je het hebt hergebruikt.
- Schakel MFA in met biometrie, een authenticatorapp of een hardwaresleutel.
- Controleer recente accountactiviteit, log uit van actieve sessies en let op ongeautoriseerde wijzigingen.
- Overweeg voortaan een wachtwoordbeheerder te gebruiken; unieke, sterke wachtwoorden verkleinen de impact van toekomstige aanvallen.
Als je betaalgegevens hebt ingevoerd of iets hebt geïnstalleerd
- Neem onmiddellijk contact op met je bank of kaartuitgever. Leg uit dat kaartgegevens mogelijk zijn gelekt door QR-codefraude en vraag hen om de kaart in de gaten te houden, te blokkeren of te vervangen.
- Controleer recente transacties en stel meldingen in voor nieuwe afschrijvingen.
- Als je na het scannen een bestand of app hebt gedownload, verwijder deze dan en voer een volledige apparaatscan uit met beveiligingssoftware, zoals Surfshark Antivirus. Dit helpt om schadelijke inhoud op te sporen die mogelijk actief is op de achtergrond van persoonlijke apparaten.
- Als er uitgebreide persoonsgegevens zijn gelekt, schakel dan kredietbewaking in om mogelijke datalekken op te sporen en identiteitsdiefstal vroegtijdig te ontdekken.
Doorlopende monitoring en rapportage
- Blijf de getroffen accounts in de gaten houden voor e-mails over het opnieuw instellen van wachtwoorden, inlogwaarschuwingen of ongebruikelijke berichten.
- Overweeg het gebruik van beveiligingstools zoals Surfshark Alert, die je kunnen waarschuwen als je e-mailadres of financiële gegevens na een datalek online opduiken. Het is een uitstekende manier om mogelijke lekken na een quishingincident op te sporen.
- Meld de aanval bij het betreffende platform (e-mailaanbieder, berichtenapp) en, indien van toepassing, bij de IT-afdeling van je werk of lokale organisaties voor consumentenbescherming.
- Maak schermafbeeldingen van de frauduleuze QR-code en sitegegevens wanneer dat veilig is. Dit helpt beveiligingsteams bij het onderzoek en voorkomt dat anderen het slachtoffer worden.
Quishing versus phishing, smishing en vishing
Aanvallen via quishing, phishing, smishing (sms-phishing) en vishing (telefonische phishing) hebben hetzelfde doel: slachtoffers misleiden om gegevens of geld af te staan. Bij al deze oplichtingspraktijken maken aanvallers vaak gebruik van spoofing, het nabootsen van vertrouwde merken, telefoonnummers of e-mailadressen, om hun berichten overtuigend te maken. Ze gebruiken echter verschillende kanalen:
|
|
Kanaal
|
Typisch lokmiddel
|
Voorbeeld
|
|
Quishing
|
QR-codes (digitaal of fysiek)
|
Bezorgberichten, betalingen, kortingen
|
Een QR-code scannen op een vals parkeerbord
|
|
Phishing
|
Meestal e-mail
|
Wachtwoordresets, facturen, accountwaarschuwingen
|
Klikken op een link in een e-mail naar een nagemaakte inlogpagina van een bank
|
|
Smishing
|
Bezorgupdates, accountopschortingen, boetes
|
Tikken op een link in een sms over een gemist pakket
|
|
|
Vishing
|
Telefoongesprekken
|
Technische ondersteuning, waarschuwingen voor bankfraude
|
Een telefoontje waarin wordt beweerd dat je account is gecompromitteerd
|
Tot slot: een balans tussen QR-gemak en beveiliging
QR-codes maken inmiddels deel uit van het dagelijks leven voor betalingen, tickets, menukaarten en verificatie. Ze gaan niet verdwijnen en dat betekent dat aanvallers er misbruik van blijven maken. Het goede nieuws is dat je QR-codes niet helemaal hoeft te vermijden. Je moet elke QR-code standaard gewoon als een niet-vertrouwde link behandelen, rustig aan doen, de context verifiëren voordat je scant en de beveiligingstools en -praktijken gebruiken die je in dit artikel hebt geleerd.
Veelgestelde vragen
Is een QR-code gevaarlijk van zichzelf, of alleen waar deze naartoe leidt?
Een QR-code is slechts een patroon dat gegevens codeert, de code is niet schadelijk van zichzelf. Het gevaar schuilt in de website, app of actie die na het scannen wordt geactiveerd. Schadelijke QR-codes verwijzen meestal naar een phishingwebsite of leiden naar een download die gegevens kan stelen of malware op je apparaat kan installeren. Er wordt niets geïnfecteerd door alleen het zien of fotograferen van een QR-code.
Kan er malware worden geïnstalleerd door het scannen van een QR-code?
Op de meeste moderne telefoons opent het scannen van een QR-code een URL-voorbeeld waarna minstens één tik nodig is voordat een site wordt geladen of een download wordt gestart. Malware vereist meestal dat je tikt, installeert of toestemming geeft. Sommige drive-by-aanvallen kunnen echter misbruik maken van verouderde browsers of apps, wat het belangrijk maakt om je apparaat bijgewerkt te houden. Als er na het scannen een onverwachte pagina verschijnt, sluit deze dan onmiddellijk.
Is het veiliger om een quishing-e-mail met een QR-code te verwijderen of te melden?
Voor de meeste mensen is het verwijderen van het bericht zonder erop in te gaan de eenvoudigste en veilige optie. Volg voor werkaccounts het interne beleid – meld verdachte e-mails met QR-codes bij je IT- of beveiligingsteam in plaats van ze alleen maar te verwijderen, zodat ze de dreiging voor de hele organisatie kunnen blokkeren.
Moet ik QR-codes helemaal vermijden om veilig te blijven?
Nee. Veel QR-codes zijn legitiem en zeer nuttig voor tickets, menukaarten en apps. Het doel is niet om het scannen van QR-codes helemaal te vermijden, maar om blind vertrouwen te voorkomen. Verifieer de bron, bekijk de URL in het voorbeeld en wees voorzichtig wanneer er geld of inloggegevens mee gemoeid zijn. Een goede vuistregel: scan alleen wat je vertrouwt en behandel elke QR-code als een potentiële phishinglink totdat je deze hebt geverifieerd.
Bronnen
- https://keepnetlabs.com/blog/qr-code-phishing-trends-in-depth-analysis-of-rising-quishing-statistics
- https://blog.barracuda.com/2024/10/22/threat-spotlight-evolving-qr-codes-phishing-attacks
- https://www.pcmag.com/news/scammers-stick-fraudulent-qr-codes-on-texas-parking-meters
- https://cfeu.org.uk/beware-of-parking-scams-stay-safe-when-paying-for-parking/
- https://www.ic3.gov/PSA/2021/PSA211104
- https://www.fbi.gov/investigate/cyber/alerts/2025/unsolicited-packages-containing-qr-codes-used-to-initiate-fraud-schemes
- https://abnormal.ai/newsroom/press-releases/h1-2024-threat-report
