Svindel med QR-koder: hvad forskningen siger

Kort fortalt

• Tryk koder, der åbner en adresse, dine kunder kender, helst dit eget website.
• Tryk koder direkte på overfladen, ikke på klistermærker, og tjek offentlige koder for klistermærker ovenpå.
• Læs den adresse, kameraet viser, før du åbner en scannet kode.

Mails med QR-koder narrede folk lige så ofte som links

Phishing betyder falske beskeder, der sender folk til et falsk website. QR-kode-phishing, eller quishing, gør det samme med en QR-kode i stedet for et link.

I 2025 testede et hold fra Universitetet i Liechtenstein under ledelse af Marie Weinz phishing i rigtige organisationer, fra små virksomheder til en multinational koncern. De sendte mere end 71.000 testmails. Nogle havde et almindeligt link, andre en QR-kode.

Mailene med QR-koder fik folk til den falske side omtrent lige så ofte som mailene med links. Forfatterne bemærker, at QR-mails også er sværere for mailfiltre at fange, fordi adressen ligger inde i et billede. Artiklen blev præsenteret på sikkerhedskonferencen AsiaCCS 2025.

To tidligere undersøgelser peger samme vej. I 2022 lod Sharevski og kolleger 173 personer scanne en falsk QR-kode til et COVID-19-pas. 67 % var villige til at tilmelde sig med deres Google- eller Facebook-konto, og bekvemmelighed var den grund, de oftest gav. I 2024 satte Geisler, Pöhn og Hommel falske plakater for en spørgeundersøgelse op på et tysk forskningscampus. En mere professionel plakat, der også lovede en præmie, blev scannet næsten tre gange så ofte som en enkel plakat.

Hvis du trykker QR-koder

Folk kan tjekke en adresse, de kender. Dit eget website er det letteste at genkende.

• Vis din egen adresse, hvor du kan. En statisk kode åbner din webadresse direkte. Med QR Lasts Pro kan dynamiske koder også bruge dit eget domæne.
• Tryk direkte på overfladen. En kode, der er trykt på et skilt, er sværere at dække end et klistermærke.
• Tjek koder på offentlige steder. Se en gang imellem efter et klistermærke over din kode på borde, plakater og døre.
• Skriv, hvor koden fører hen. En linje under koden som "Åbner dinbutik.com/menu" lader folk tjekke, før de åbner den.

Sådan tjekker du en kode, før du åbner den

1. Læs adressen først. De fleste kameraapps viser den, før de åbner den.
2. Find navnet på sitet. Læs adressen frem til den første enkelte /, og se så på de to sidste dele. I parking-city.example.com.pay-now.ru/pay er sitet pay-now.ru. For adresser, der ender på .co.uk og lignende, ser du på de tre sidste dele.
3. Vær forsigtig med koder, der beder dig logge ind eller betale. Parkerings-, bank- og leveringstjenester lader dig som regel betale i deres egen app eller på deres eget website, som du selv kan åbne.
4. Mærk efter klistermærker på parkeringsautomater og plakater, før du scanner.
5. Scan ikke koder i mails, du ikke ventede. Gå direkte til tjenesten i stedet.

Sådan hjælper QR Lasts

Statiske koder åbner din egen adresse uden noget imellem. Alle koder, der laves her, gratis eller betalte, bliver ved med at viderestille. Den eneste grund til, at vi stopper en kode, er misbrug, for eksempel en destination, som Google Web Risk markerer som phishing eller malware.

Kilder

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Hvis vi har misforstået en undersøgelse, så sig det til os, så retter vi det.