Oplichting met QR-codes: wat het onderzoek zegt

Kort samengevat

• Druk codes die een adres openen dat uw klanten herkennen, het liefst uw eigen website.
• Druk codes op het oppervlak zelf, niet op stickers, en controleer openbare codes op stickers eroverheen.
• Lees het adres dat uw camera toont voordat u een gescande code opent.

Mails met een QR-code misleidden mensen even vaak als links

Phishing betekent nepberichten die mensen naar een nepwebsite sturen. QR-codephishing, of quishing, doet hetzelfde met een QR-code in plaats van een link.

In 2025 testte een team van de Universiteit van Liechtenstein onder leiding van Marie Weinz phishing in echte organisaties, van kleine bedrijven tot een multinational. Het team verstuurde meer dan 71.000 testmails. Sommige bevatten een gewone link, andere een QR-code.

De mails met een QR-code brachten mensen ongeveer even vaak naar de neppagina als de mails met een link. De auteurs merken op dat QR-mails ook moeilijker te herkennen zijn voor e-mailfilters, omdat het adres in een afbeelding zit. Het artikel werd gepresenteerd op de beveiligingsconferentie AsiaCCS 2025.

Twee eerdere studies wijzen dezelfde kant op. In 2022 lieten Sharevski en collega's 173 mensen een nep-QR-code voor een COVID-19-pas scannen. 67% was bereid zich aan te melden met hun Google- of Facebook-account, en gemak was de reden die ze het vaakst gaven. In 2024 plaatsten Geisler, Pöhn en Hommel nepposters voor een enquête op een Duitse onderzoekscampus. Een professionelere poster die ook een prijs beloofde, werd bijna drie keer zo vaak gescand als een eenvoudige.

Als u QR-codes drukt

Mensen kunnen een adres controleren dat ze herkennen. Uw eigen website is het makkelijkst te herkennen.

• Toon waar het kan uw eigen adres. Een statische code opent uw webadres rechtstreeks. Met QR Lasts Pro kunnen ook dynamische codes uw eigen domein gebruiken.
• Druk op het oppervlak. Een code die op een bord is gedrukt, is moeilijker af te dekken dan een sticker.
• Controleer codes op openbare plekken. Kijk op tafels, posters en deuren af en toe of er een sticker over uw code zit.
• Zeg waar de code naartoe gaat. Een regel onder de code zoals “Opent yourshop.com/menu” laat mensen controleren voordat ze hem openen.

Zo controleert u een code voordat u hem opent

1. Lees eerst het adres. De meeste camera-apps tonen het voordat ze het openen.
2. Zoek de naam van de site. Lees het adres tot de eerste enkele /, en kijk dan naar de laatste twee delen. In parking-city.example.com.pay-now.ru/pay is de site pay-now.ru. Bij adressen die eindigen op .co.uk en vergelijkbare, kijkt u naar de laatste drie delen.
3. Wees voorzichtig met codes die vragen om in te loggen of te betalen. Parkeer-, bank- en bezorgdiensten laten u meestal betalen in hun eigen app of op hun eigen website, die u zelf kunt openen.
4. Voel of er stickers zitten op parkeermeters en posters voordat u scant.
5. Scan geen codes in e-mails die u niet verwachtte. Ga in plaats daarvan rechtstreeks naar de dienst.

Hoe QR Lasts helpt

Statische codes openen uw eigen adres, zonder iets ertussen. Elke code die hier is gemaakt, gratis of betaald, blijft doorverwijzen. De enige reden dat we een code stoppen, is misbruik, zoals een bestemming die Google Web Risk markeert als phishing of malware.

Bronnen

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Hebben we een onderzoek verkeerd gelezen, laat het ons weten en we corrigeren het.