Bedrägerier med QR-koder: vad forskningen säger

Kort version

• Tryck koder som öppnar en adress som dina kunder känner igen, helst din egen webbplats.
• Tryck koder direkt på ytan, inte på dekaler, och kontrollera offentliga koder efter dekaler ovanpå.
• Läs adressen som kameran visar innan du öppnar en skannad kod.

Mejl med QR-kod lurade folk lika ofta som länkar

Nätfiske betyder falska meddelanden som skickar folk till en falsk webbplats. Nätfiske med QR-kod, eller quishing, gör samma sak med en QR-kod i stället för en länk.

År 2025 testade en grupp från Liechtensteins universitet, ledd av Marie Weinz, nätfiske i riktiga organisationer, från småföretag till ett multinationellt företag. De skickade mer än 71 000 testmejl. Vissa hade en vanlig länk, andra en QR-kod.

Mejlen med QR-kod fick folk till den falska sidan ungefär lika ofta som mejlen med länk. Författarna påpekar att QR-mejl också är svårare för e-postfilter att fånga, eftersom adressen ligger inuti en bild. Studien presenterades på säkerhetskonferensen AsiaCCS 2025.

Två tidigare studier pekar åt samma håll. År 2022 lät Sharevski och kollegor 173 personer skanna en falsk QR-kod för ett covid-19-pass. 67 % var beredda att registrera sig med sitt Google- eller Facebookkonto, och bekvämlighet var det skäl de oftast angav. År 2024 satte Geisler, Pöhn och Hommel upp falska enkätaffischer på ett tyskt forskningscampus. En mer professionell affisch som också erbjöd ett pris skannades nästan tre gånger så ofta som en enkel affisch.

Om du trycker QR-koder

Folk kan kontrollera en adress som de känner igen. Din egen webbplats är lättast att känna igen.

• Visa din egen adress där du kan. En statisk kod öppnar din webbadress direkt. Med QR Lasts Pro kan dynamiska koder också använda din egen domän.
• Tryck direkt på ytan. En kod som är tryckt på en skylt är svårare att täcka över än en dekal.
• Kontrollera koder på offentliga platser. Titta då och då efter en dekal över din kod på bord, affischer och dörrar.
• Skriv vart koden leder. En rad under koden som "Öppnar dinbutik.com/menu" låter folk kontrollera innan de öppnar den.

Så kontrollerar du en kod innan du öppnar den

1. Läs adressen först. De flesta kameraappar visar den innan de öppnar den.
2. Hitta sajtens namn. Läs adressen fram till det första enkla /, och titta sedan på de två sista delarna. I parking-city.example.com.pay-now.ru/pay är sajten pay-now.ru. För adresser som slutar på .co.uk och liknande, titta på de tre sista delarna.
3. Var försiktig med koder som ber dig logga in eller betala. Parkerings-, bank- och leveranstjänster låter dig oftast betala i sin egen app eller på sin egen webbplats, som du kan öppna själv.
4. Känn efter dekaler på parkeringsautomater och affischer innan du skannar.
5. Skanna inte koder i mejl som du inte väntade dig. Gå direkt till tjänsten i stället.

Så hjälper QR Lasts

Statiska koder öppnar din egen adress, utan något däremellan. Varje kod som skapas här, gratis eller betald, fortsätter att omdirigera. Det enda skälet till att vi stoppar en kod är missbruk, till exempel ett mål som Google Web Risk flaggar för nätfiske eller skadlig kod.

Källor

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Om vi har missförstått en studie, säg till så rättar vi det.