QR-phishing: misbruikte domeinen zijn QR-generatoren

Deze bevinding verandert het betoog in deze blog van een mening in bewijs. Quishing — phishing via een QR-code — werkt omdat een gedrukt vierkant voor het oog onleesbaar is. Maar het *schaalt* omdat legitieme bedrijven het publiek tien jaar lang hebben geleerd dat het normaal is om een onbekend kort domein te scannen.

De telemetrie van Unit 42 uit februari 2026 komt uit op gemiddeld meer dan 11.000 detecties van schadelijke QR-codes per dag. Het verkeer via QR-verkorters steeg met 55% van de eerste helft van 2023 naar de eerste helft van 2024, en daarna nog eens met 44% tot de eerste helft van 2025. Zowel de FBI als de FTC hebben openbare waarschuwingen uitgegeven: het Internet Crime Complaint Center publiceerde PSA 220118 over criminelen die codes manipuleren om geld en inloggegevens te stelen, en kwam in juli 2025 terug op ongevraagde pakketten met QR-codes. De FTC waarschuwde bovendien dat oplichters legitieme codes met hun eigen stickers bedekken, met parkeermeters als specifiek voorbeeld.

Waarom kun je een QR-code niet vóór het scannen controleren?

Mensen is — met enig succes — geleerd om een link vóór het aanklikken te controleren: beweeg de muis erover, lees het domein en let op spelfouten. Die verdediging werkt alleen als je de URL kunt zien.

Een QR-code omzeilt dat. De bestemming is gecodeerd in een patroon dat geen mens met het blote oog kan ontcijferen. Er is niets om met de muis aan te wijzen. Je richt een camera op een vierkant en er wordt iets geopend of niet. Het enige mogelijke verdedigingsmoment is het voorbeeld dat sommige scanners eerst tonen — en op een klein scherm, als je haast hebt, is dat voorbeeld een afgekorte tekenreeks die de meeste mensen niet lezen.

Hoe zien de belangrijkste aanvallen eruit?

Het NCSC benoemt het e-mailprobleem expliciet: niet alle beveiligingstools scannen afbeeldingen. Daardoor kan een QR-code die naar een schadelijke site verwijst langs filters komen die dezelfde link als tekst wel hadden onderschept — en gebruikers scannen meestal met een persoonlijke telefoon die niet de bescherming van een door een werkgever beheerd apparaat heeft. Op onze pagina over wifi-QR-codes leggen we die indeling van de lading uit; weten hoe die eruitziet, maakt controle mogelijk.

Hoe vernietigden omleidingen de laatste verdediging?

Stel dat elk legitiem bedrijf statische codes gebruikte die het eigen domein bevatten. Een scanner zou restaurant-name.com/menu, cityparking.gov/pay of yourbank.com/verify tonen. Herkenbaar. Een voorbeeld met x7q-cdn.click/8Hf2 zou dan duidelijk verkeerd lijken, omdat het niet zou lijken op elke legitieme code die die persoon ooit had gescand.

Dat is niet de wereld waarin we leven. Enorme aantallen legitieme codes — van restaurants, winkels, musea, vervoersbedrijven en zelfs overheidsinstanties — verwijzen via externe korte domeinen die niets betekenen voor degene die scant. Het gevolg is direct: een onbekend domein in een QR-voorbeeld geeft geen enkel signaal meer. Mensen zijn geleerd er honderden keren langs te scannen zonder dat er iets misging.

Unit 42 stelt het resultaat onomwonden: ‘Zelfs beveiligingsbewuste mensen die het URL-voorbeeld vóór het scannen controleren, kunnen de uiteindelijke bestemming niet bepalen wanneer ze verkorte links krijgen voorgeschoteld.’ De omleidingsindustrie heeft quishing niet uitgevonden. Ze verwijderde het enige hulpmiddel dat gewone mensen ertegen hadden — het mechanisme wordt beschreven bij omleidingskaping.

Drie bijkomende effecten

• Verbergen. Een omleiding kan verschillende bezoekers naar verschillende bestemmingen sturen — veilige inhoud naar een onderzoeker, de echte lading naar een telefoon in de doelstad. Een statische code kan dit niet; de lading ligt vast en is voor iedereen identiek.
• Vertraagde activering. Een code kan wekenlang naar iets onschuldigs verwijzen, een controle doorstaan en daarna worden omgeschakeld. Dit is dezelfde bewerkbaarheid die de sector als functie verkoopt.
• Reputatie witwassen. Een herkenbaar verkortingsdomein verleent legitimiteit aan alles waarnaar het doorstuurt.

Hoe bescherm je jezelf bij het scannen?

1. Lees het domein in het voorbeeld. Als je scanner geen domein toont, gebruik er dan een die dat wel doet. Het NCSC raadt de scanner aan die in je telefoon is ingebouwd, in plaats van een app uit een winkel.
2. Behandel elke code in ongevraagde post of e-mail als schadelijk. Legitieme organisaties hebben zelden nodig dat je een gedrukt vierkant scant om een dringend accountprobleem op te lossen — beide bovenstaande FBI-waarschuwingen gaan precies hierover.
3. Controleer stickers met je handen. Maak een randje los. Een sticker over een sticker is de meest voorkomende quishing-opstelling en is met je vingertoppen te detecteren.
4. Voer nooit betaalgegevens in op een pagina die je via een scan hebt bereikt. Ga zelf naar de dienst door het adres te typen of de app te openen.
5. Decodeer de code in plaats van te scannen als je twijfelt. Fotografeer de code en lees de lading op onze decoderpagina zonder iets te openen.

Wat als je al een schadelijke code hebt gescand?

Alleen scannen brengt een telefoon bijna nooit in gevaar. Het gaat erom wat er daarna gebeurde, dus bepaal je vervolgstap op basis daarvan.

1. Als je alleen een pagina hebt bekeken en gesloten, is er zeer waarschijnlijk niets aan de hand. Noteer het domein voor het geval je het moet melden en ga verder.
2. Als je een wachtwoord hebt ingevoerd, wijzig het dan onmiddellijk op de echte site en overal waar je het opnieuw hebt gebruikt. Schakel meteen ook meervoudige authenticatie in.
3. Als je kaartgegevens hebt ingevoerd, bel dan nu je bank of blokkeer de kaart in je bankapp, voordat je iets anders controleert. Meld het als een frauduleuze pagina, niet als een betwiste aankoop.
4. Als je iets hebt geïnstalleerd, verwijder het dan en controleer vervolgens app-machtigingen en eventuele apparaatbeheer- of toegankelijkheidsrechten die de app heeft gevraagd. Die machtigingen vormen bij de meeste mobiele gevallen de schadelijke lading.
5. Als je via een code verbinding hebt gemaakt met een wifi-netwerk, laat het netwerk dan vergeten en ga ervan uit dat alles wat je tijdens de verbinding verstuurde, kon worden bekeken.
6. Meld het. In de VS verzamelt de IC3 van de FBI meldingen en accepteert de FTC consumentenklachten; in het VK is dat Action Fraud. Was de code een sticker op openbare infrastructuur, informeer dan ook de eigenaar van het oppervlak — een parkeerbeheerder kan een overplakte code niet verwijderen als die er niets van weet.

Doe één ding vooral niet: aannemen dat het je eigen schuld was omdat je hebt gescand. Zowel de FBI als de FTC hebben juist openbare waarschuwingen uitgegeven omdat deze codes opzettelijk niet van legitieme codes te onderscheiden zijn.

Hoe bescherm je als bedrijf je klanten?

Als je QR-codes afdrukt, bepalen jouw keuzes of je klanten zich überhaupt kunnen verdedigen.

1. Gebruik statische codes die je eigen domein bevatten. Het voorbeeld toont dan jouw naam, het enige controlesignaal dat tijdens het scannen beschikbaar is. Dit is de verandering met de grootste impact.
2. Druk de URL in leesbare tekst naast de code af. Zo krijgen mensen een route waarvoor ze niet hoeven te scannen en iets om mee te vergelijken.
3. Controleer je fysieke codes volgens een vast schema. Overplakte stickers werken alleen zolang niemand controleert.
4. Stuur klanten nooit via een domein dat jouw naam niet bevat. Je leert ze dat ondoorzichtige bestemmingen normaal zijn en kunt zelf niet meer uitleggen hoe een legitieme code van jou eruitziet.

Hier vallen de belangen mooi samen: de keuze die je beschermt tegen gijzeling door abonnementen beschermt je klanten ook tegen phishing.

Genereer een statische code die je eigen domein in het voorbeeld toont: URL-QR-code. Achtergrondinformatie: de waarheid over QR-codescams.