Oplichters passen kunstgrepen toe in valse e-mails om jou op het verkeerde been te zetten - en als het even kan een groot geldbedrag afhandig te maken. Opgelicht?! ziet de laatste tijd vaker nepmails met QR-codes in plaats van reguliere links. Qua functionaliteit verandert er niks: de QR-code verwijst namelijk naar dezelfde link die oplichters anders in de tekst hadden gezet. Het idee is dan ook dat je deze variant minder snel als verdacht ervaart. Toch even opletten dus.

De laatste weken krijgen we ze steeds vaker te zien: nepmails uit naam van banken of overheidsinstellingen waar een QR-code in staat in plaats van een link naar de nepsite.

Banken, de Fraudehelpdesk, het Centrum voor Criminaliteitspreventie en Veiligheid en uiteraard ook Opgelicht?! waarschuwen consumenten immers regelmatig om nooit op linkjes in verdachte mails te klikken. Daarom gooien oplichters het over een andere boeg, blijkt uit de praktijk.

Geen linkje meer in de tekst, maar een QR-code

Het idee van het plaatsen van een QR-code in plaats van een rechtstreekse link is uiteraard bedoeld om je op het verkeerde been te zetten. Veel consumenten zijn door talloze waarschuwingen wel alert op linkjes in dergelijke mails, maar een QR-code in nepmails is een stuk minder gebruikelijk. Ook kan de achterliggende gedachte zijn dat een QR-code de mail extra officieel moet doen lijken.

Kortom, de ontvanger moet de indruk krijgen dat er veel werk in is gestoken, want daardoor neemt de kans op een succesvolle poging tot oplichting weer een beetje toe. Een QR-code maken is echter de eenvoudigste zaak ter wereld: op internet vind je in een handomdraai allerlei gratis tools waarmee je binnen een paar seconden een QR-code kunt genereren.

Belangrijk om te weten: de QR-code verschilt in deze context qua functionaliteit eigenlijk niet van de traditionele link. De link naar de nepsite wordt gewoon gecodeerd tot een QR-code, en deze wordt vervolgens in de valse e-mail geplaatst.

De benadering verschilt, want deze code kun je met je telefoon scannen en je hoeft dus niks aan te klikken. De uitkomst is echter hetzelfde als wanneer je zelf op een linkje zou klikken. Je telefoon herkent in de QR-code simpelweg een verwijzing naar een nepsite die - indien nog actief - in de browser op je toestel wordt geopend. En zo beland je alsnog precies waar de oplichters je hebben willen.

Hieronder twee voorbeelden. Deze zijn afkomstig uit nepmails uit naam van de Rabobank en MijnOverheid, maar wij verwachten deze truc spoedig ook in mails namens andere banken en overheidsinstellingen te zien:

Is het altijd gevaarlijk om links uit e-mails en sms'jes te openen?

Hoewel wij consumenten in principe altijd afraden om überhaupt valse mails te openen en op links te klikken (en we daar bij dezen het advies om óók geen QR-codes te scannen aan toe kunnen voegen), is er van écht gevaar niet altijd meteen sprake. Hoe zit dat precies?

In de meeste gevallen willen oplichters jou simpelweg naar een nagemaakte website van bijvoorbeeld een overheidsinstelling, een bank, een telecomprovider of een nepdeurwaarder lokken. Het enkel openen en bezoeken van zo'n website is in die zin niet meteen een acuut gevaar: het is niet zo dat het alleen maar aanklikken van zo'n link meteen resulteert in een leeggetrokken bankrekening.

Het wordt pas gevaarlijk als je daadwerkelijk handelingen op zo'n nepsite gaat verrichten, zoals het invoeren van inlog- of persoonsgegevens of het betalen van een (spook)factuur. Omdat het steeds moeilijker wordt om een nepsite van een echte website te kunnen onderscheiden, raden wij veiligheidshalve maar gewoon af om überhaupt iets met zo'n link te doen. De bedoelingen van de afzender zijn nooit goed, dus je hebt er simpelweg niets aan.

Valse mails openen en linkjes aanklikken kan bevestigen dat jouw mailadres actief is

Maar er is nóg een reden om niet op linkjes te klikken. Veel nepmails worden in bulk verzonden via marketingsoftware, en in bepaalde gevallen (denk bijvoorbeeld aan mails met misleidende winacties uit naam van supermarkten of webwinkels) is de link in zo'n mail gepersonaliseerd en uniek.

De afzender kan zo niet alleen achterhalen hoe vaak links worden aangeklikt, maar soms zelfs specifiek welke ontvangers bepaalde links hebben geopend. Door een linkje aan te klikken, bevestig je in zekere zin dus dat jouw mailadres nog actief is. Soms is zelfs het openen van een mailtje al genoeg om de afzender te laten weten dat de mail gelezen is.

Je mailadres hadden ze toch al, anders kreeg je überhaupt niks, maar een mogelijke consequentie is wel dat je vaker valse e-mails krijgt. 

Risico op malware, ransomware en virussen

Een andere reden om valse berichten uit voorzorg gewoon ongeopend te verwijderen en niks met linkjes te doen, is dat deze in bepaalde gevallen verwijzen naar schadelijke, gevaarlijke malware, ransomware of virussen. Dat geldt natuurlijk al helemaal als er sprake is van een bijlage: zomaar een bijlage van een onbekende afzender downloaden en openen raden wij met klem af.

Het uitgangspunt van het advies om niks met dergelijke berichten te doen en geen linkjes aan te klikken is dan ook dat dat simpelweg de veiligste oplossing is.

Update 13 mei 2021: Politie waarschuwt nu ook voor QR-codes

De politie schrijft in een bericht op de website over de QR-code-fraude en roept op tot alertheid: 'Scan nooit zomaar een QR-code'.