Steeds vaker steken QR-codes de kop op in phishingberichten. Oplichting met behulp van QR-codes wordt ook wel qhishing genoemd. Wat houdt deze vorm van phishing in? En nog belangrijker: hoe voorkom je dat je hierdoor wordt opgelicht?
 

Een QR-code (Quick Response-code) kan verschillende gegevens bevatten. Zo kan je bijvoorbeeld door het scannen van een QR-code via je telefoon, naar een website worden geleid, verbinding maken met een wifi-netwerk, de menukaart in een restaurant zien of een betaling doen. Niet gek dus dat dit vierkante blokje veel wordt ingezet door bedrijven en ondernemers. Helaas brengt het gebruik van QR-codes ook enkele risico’s met zich mee.

Qhishing in de praktijk

Van phishingmails namens Bunq en ANWB tot MijnOverheid en de Belastingdienst: de zwart-witte pixels worden steeds vaker ingezet voor kwaadaardige bedoelingen. Als je een valse QR-code scant kun je bijvoorbeeld terechtkomen op een nepwebsite waar je je gegevens dient in te vullen. De online criminelen kunnen zo jouw geld of inlog- en bankgegevens buitmaken. Het kan ook voorkomen dat de crimineel je doorverwijst naar applicaties onder zijn controle, waardoor diegene jouw gegevens kan bemachtigen. 

Weten op welke manieren QR-code phishing nog meer wordt ingezet? In een eerder artikel leggen we dit haarfijn uit. 

Een QR-code is een vermomde link

Op het eerste gezicht ziet een QR-code er onschuldig uit. Het is eigenlijk niets anders dan een link die ook in het dagelijks leven gebruikt kan worden. Beschouw een phishingbericht met een QR-code dus ook hetzelfde als een bericht met daarin een valse link.

Normaal check je een link door op je desktop met je cursor op de link te gaan staan of op je telefoon door de link ingedrukt te houden. Bij QR-codes kan dit niet. Hier is gelukkig iets op bedacht. Als je een QR-code scant, dan zie je eerst het webadres van de website waar je heen wordt geleid. Zo kun je eerst checken of het een betrouwbare link is. Zo leer je een vals webadres herkennen. 

Voorkom dat je wordt opgelicht via een QR-code

• Kom je na het scannen op een website terecht waar je gevraagd wordt (gevoelige) gegevens achter te laten? Vul niets in en sluit de website af. 
• Een verkorte link in een QR-code is extra verdacht. Een QR-code heeft namelijk ruimte genoeg voor een volledig webadres. 
• Als een bericht namens bijvoorbeeld jouw bank of de overheid een QR-code bevat, betekent dit niet direct dat het betrouwbaar is. Het kan altijd gaan om phishing. Scan berichten daarom altijd op meerdere kenmerken die op phishing wijzen. 
• Zoek de officiële website zelf op via je webbrowser. 
• Vertrouw op je onderbuikgevoel. Als het niet goed voelt, scan niets. 

In de val getrapt, wat nu?

Afhankelijk van of je jouw gegevens hebt gedeeld of alleen de webpagina hebt geopend,  hier wat tips:

• Neem contact op met de instantie of het bedrijf namens wie de QR-code afkomstig lijkt te zijn. 
• Bankgegevens gedeeld? Neem contact op met je bank voor de juiste hulp. Wellicht kunnen zij de transactie ongedaan maken.
• Verander je inloggegevens. Zo maak je een sterk wachtwoord aan. 
• Download een virusscanner en scan je apparaat op malware.
• Verzamel bewijsmateriaal en doe aangifte bij de politie. Als de politie meerdere meldingen ontvangt over dezelfde oplichter of nepwebsite, dan kan het zijn dat de politie er werk van maakt. 

Bron: Digital Trust Center en Consumentenbond