Svindel med QR-koder: hva forskningen sier

Kort fortalt

• Trykk koder som åpner en adresse kundene dine kjenner igjen, helst ditt eget nettsted.
• Trykk koder rett på overflaten, ikke på klistremerker, og sjekk offentlige koder for klistremerker oppå.
• Les adressen kameraet viser før du åpner en skannet kode.

E-poster med QR-kode lurte folk like ofte som lenker

Phishing betyr falske meldinger som sender folk til et falskt nettsted. QR-kode-phishing, eller quishing, gjør det samme med en QR-kode i stedet for en lenke.

I 2025 testet en gruppe fra Universitetet i Liechtenstein, ledet av Marie Weinz, phishing i ekte organisasjoner, fra små bedrifter til et multinasjonalt selskap. De sendte mer enn 71 000 test-e-poster. Noen hadde en vanlig lenke, noen en QR-kode.

E-postene med QR-kode fikk folk til den falske siden omtrent like ofte som e-postene med lenke. Forfatterne påpeker at QR-e-poster også er vanskeligere for e-postfiltre å fange opp, fordi adressen ligger inne i et bilde. Artikkelen ble presentert på sikkerhetskonferansen AsiaCCS 2025.

To tidligere studier peker samme vei. I 2022 lot Sharevski og kolleger 173 personer skanne en falsk QR-kode for et covid-19-pass. 67 % var villige til å registrere seg med Google- eller Facebook-kontoen sin, og bekvemmelighet var grunnen de oftest oppga. I 2024 satte Geisler, Pöhn og Hommel opp falske plakater for en spørreundersøkelse på et tysk forskningscampus. En mer profesjonell plakat som også lovet en premie, ble skannet nesten tre ganger så ofte som en enkel plakat.

Hvis du trykker QR-koder

Folk kan sjekke en adresse de kjenner igjen. Ditt eget nettsted er det letteste å kjenne igjen.

• Vis din egen adresse der du kan. En statisk kode åpner nettadressen din direkte. Med QR Lasts Pro kan dynamiske koder også bruke ditt eget domene.
• Trykk rett på overflaten. En kode som er trykket på et skilt, er vanskeligere å dekke til enn et klistremerke.
• Sjekk koder på offentlige steder. Se innimellom etter et klistremerke over koden din på bord, plakater og dører.
• Skriv hvor koden går. En linje under koden som «Åpner dinbutikk.com/menu» lar folk sjekke før de åpner den.

Slik sjekker du en kode før du åpner den

1. Les adressen først. De fleste kameraapper viser den før de åpner den.
2. Finn navnet på nettstedet. Les adressen fram til den første enkle /, og se så på de to siste delene. I parking-city.example.com.pay-now.ru/pay er nettstedet pay-now.ru. For adresser som slutter på .co.uk og lignende, ser du på de tre siste delene.
3. Vær forsiktig med koder som ber deg logge inn eller betale. Parkerings-, bank- og leveringstjenester lar deg som regel betale i sin egen app eller på sitt eget nettsted, som du kan åpne selv.
4. Kjenn etter klistremerker på parkeringsautomater og plakater før du skanner.
5. Ikke skann koder i e-poster du ikke ventet. Gå rett til tjenesten i stedet.

Slik hjelper QR Lasts

Statiske koder åpner din egen adresse, uten noe imellom. Hver kode som lages her, gratis eller betalt, fortsetter å videresende. Den eneste grunnen til at vi stopper en kode, er misbruk, som et mål Google Web Risk flagger som phishing eller skadevare.

Kilder

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Hvis vi har misforstått en studie, si fra, så retter vi det.