Quishing: wat het is, hoe het werkt en hoe je jezelf beschermt tegen QR-oplichting

Quishing is phishing uitgevoerd via een QR-code. In plaats van een link in een e-mail plaatst de aanvaller een fysieke of digitale QR die, wanneer gescand, leidt naar een frauduleuze website die is ontworpen om wachtwoorden, bankgegevens te stelen of malware te installeren.

Snel antwoord

• "Quishing" = QR + phishing. De QR is slechts het middel; de aanval vindt plaats op de website waarnaar hij doorverwijst.
• Veelvoorkomende gevallen: nep-stickers op parkeerautomaten, gemanipuleerde restaurantmenu's, nep-betaal-QR's, nep-telefoonopladers op luchthavens, e-mails met bijgevoegde QR's.
• Controleer vóór het scannen of de QR geen sticker is die over een andere is geplakt.
• Bij het scannen: de meeste moderne telefoons tonen de URL voordat ze hem openen. Lees hem.
• Voer nooit wachtwoorden of bankgegevens in op een website die je hebt bereikt door een onbekende fysieke QR te scannen.

Wat is quishing?

Quishing (van QR + phishing) is een type aanval waarbij de cybercrimineel een QR-code gebruikt om het slachtoffer naar een kwaadaardige website te leiden zonder argwaan te wekken.

Het werkt omdat:

• De gebruiker de URL niet kan zien voordat hij scant (de QR is ondoorzichtig voor het menselijk oog).
• QR-codes niet van de buitenkant te onderscheiden zijn als legitiem of kwaadaardig.
• De telefoon zijn wacht verlaagt die hij wel zou hebben bij een e-mail of weblink (in een e-mail is het domein zichtbaar; in een QR niet).

Het einddoel van de aanvaller kan zijn:

• Inloggegevens stelen (bank, sociale media, zakelijke e-mail).
• Betalingen uitvoeren naar frauduleuze sites die echte sites imiteren.
• Malware of spyware op de telefoon installeren.
• Persoonlijke gegevens verzamelen om door te verkopen.

Hoe werkt een quishing-aanval?

Het typische schema heeft drie stappen:

1. De aanvaller maakt een QR die verwijst naar een website onder zijn controle. De site imiteert visueel doorgaans een bekend merk (bank, parkeerautomaat, overheidsdienst, restaurant).
2. Ze plaatsen hem waar het slachtoffer zonder argwaan scant: geplakt over de originele QR op een openbaar bord, in een ogenschijnlijk legitieme e-mail, op een nep-telefoonoplader, op een sticker over een restaurantmenu.
3. Het slachtoffer scant, bereikt de nepsite en vult zijn gegevens in in de overtuiging dat het de echte is.

De laatste stap is klassieke phishing. Wat nieuw is, is de eerste: de QR als haak die de gebruiker niet kan inspecteren.

Gedocumenteerde veelvoorkomende gevallen

De meest frequente:

• Parkeerautomaten: stickers met nep-QR's over de echte geplakt. De bestuurder scant, bereikt een nep-betaalgateway, "betaalt" het parkeerticket en zijn kaartgegevens gaan naar de aanvaller.
• Restaurants: een sticker over de QR van het digitale menu. De nepsite vraagt om een e-mail of gegevens "om het menu te bekijken".
• Nep-belasting- of boeteaanslagen: een QR op een brief die er officieel uitziet.
• Openbare opladers op luchthavens: QR met nep-"installatie"-instructies.
• Zakelijke e-mails: de QR arriveert bijgevoegd in een PDF om "je Microsoft 365-sessie te valideren" of iets dergelijks. Hij omzeilt e-mail-antiphishingfilters omdat de URL in een afbeelding zit.
• Gemanipuleerde openbare advertenties op metro, bussen en straatmeubilair.

Het gemeenschappelijke patroon: plaatsen waar mensen verwachten een QR te scannen en er geen vraagtekens bij zetten.

Hoe je een verdachte QR herkent vóór het scannen

Snelle visuele controle:

• Is het een sticker die over iets heen is geplakt? Kijk goed. Een sticker over een gedrukt bordje is het duidelijkste teken van manipulatie.
• Zit de QR op een geïmproviseerde plek (vastgeniet papier, gebroken hoek)? Wees achterdochtig.
• Past hij bij het merk dat hij beweert te zijn? Gepixelde logo's, vreemde kleuren, typefouten in de nabijgelegen tekst.
• Heb je hem per e-mail ontvangen en verwachtte je geen QR? Verifieer via een ander kanaal eerst.

Bij twijfel: niet scannen. Zoek de officiële website zelf op.

Hoe je jezelf beschermt bij het scannen

De meeste moderne telefoons geven je een beschermingslaag als je die gebruikt:

1. Wacht tot de URL verschijnt voordat je erop tikt. Op iPhone (iOS 11+) en Android (10+) toont de camera de URL eerst als melding. Open hem niet automatisch.
2. Lees het domein. Als het beweert "jouw bank" te zijn maar de URL is b4nk-toegang.xyz, is het nep. Kijk voornamelijk naar het hoofddomein (wat vlak voor de eerste / staat).
3. Wantrouw verkorte URL's in fysieke QR's. Een legitieme zakelijke QR verbergt de URL doorgaans niet achter een verkorter.
4. Voer geen inloggegevens in op sites die je hebt bereikt door een openbare QR te scannen die jij niet controleert. Als ze je vragen in te loggen, open dan de app of officiële site zelf opnieuw.
5. Voor betalingen: als je wilt betalen na het scannen van een QR, controleer dan of de URL de officiële betaalgateway is en niet een vreemd domein dat hem imiteert.

Wat te doen als je al in de val bent getrapt

Onmiddellijke stappen als je gegevens hebt ingevoerd op een verdachte site:

• Wijzig wachtwoorden van getroffen diensten vanaf een ander apparaat.
• Als je bankgegevens hebt gegeven: bel je bank en blokkeer de kaart. Controleer recente transacties.
• Schakel tweestapsverificatie in op elk kritiek account als je dat nog niet had.
• Meld de fraude bij de autoriteiten. In Nederland: Politie (politie.nl), Fraudehelpdesk, of meld phishing bij de Autoriteit Persoonsgegevens (AP) als er persoonsgegevens bij betrokken zijn.
• Als je vermoedt dat er malware op je telefoon staat: controleer recent geïnstalleerde apps, voer een reputable mobiele antiviruscontrole uit, overweeg het apparaat opnieuw in te stellen.

Voor bedrijven: hoe je de QR's die je plaatst beschermt

Als je bedrijf QR's gebruikt (restaurants, evenementen, transport, retail), ben je ook een doelwit: als een aanvaller stickers over die van jou plakt, is de reputatieschade voor jou.

Beste praktijken:

• Druk de QR direct op het oppervlak af, niet op een verwijderbare sticker. Veel moeilijker te manipuleren.
• Lamineer of bescherm QR-borden buitenshuis.
• Controleer periodiek de fysieke QR's in je bedrijf, met name betaal-QR's.
• Gebruik je eigen domein in de QR-bestemming. Generieke domeinen of verkorters zijn op zichzelf al verdacht.
• Train je team om verdachte stickers op de oppervlakken van je bedrijf te herkennen.
• Stel klanten op de hoogte als je manipulatie ontdekt.

Is het gevaarlijk om mijn eigen QR's te genereren?

Je eigen QR genereren is geen risico — de QR die je maakt voor je website, WiFi of vCard is niet kwaadaardig. Het risico zit in de QR's van anderen die je scant.

Dat gezegd hebbende, bij het genereren van je eigen QR's zijn twee dingen belangrijk:

• Dat je generator de data die je invoert niet exfiltreert (bijzonder belangrijk als je WiFi-wachtwoorden, persoonlijke data in vCards of betalingsinformatie codeert). Gebruik generators die 100% in de browser werken en geen account vereisen.
• Dat de QR verwijst naar een domein dat jij controleert. Vermijd tussenliggende verkorters waar mogelijk: elke compromittering van de verkorter maakt jouw QR's tot wapens voor derden.

QRcito genereert QR's volledig in je browser en gebruikt geen omleiding. De QR-bestemming is precies wat je invoert.

Conclusie

Quishing is traditionele phishing in een nieuw jasje: de QR-code. Het favoriete aanvalsvector is een gemanipuleerde sticker op plaatsen waar mensen gewend zijn te scannen zonder na te denken. De verdediging is de URL lezen voordat je hem opent, wantrouwen tegenover verdachte stickers en geen inloggegevens invoeren op sites die je hebt bereikt via niet-geverifieerde QR's.

Zorg voor je eigen QR's dat je ze genereert met tools die je data niet naar een server sturen en geen omleidingen introduceren die jij niet controleert.

Veelgestelde vragen

Is quishing hetzelfde als phishing? Bijna. Quishing is phishing waarbij het lokmiddel een QR is in plaats van een link of e-mail. Het frauduleuze deel vindt nog steeds plaats op een kwaadaardige website.

Kan een QR-code een virus installeren alleen door hem te scannen? Niet direct. De QR bevat geen uitvoerbare code, alleen data (meestal een URL). De schade zit in wat erna komt: als de URL je leidt om een kwaadaardige app te downloaden of een frauduleuze site, is dát waar het risico ligt.

Is het veilig om een QR te scannen in een restaurant of op een officieel bordje? Doorgaans wel, maar controleer of er geen stickers over het origineel zijn geplakt. Als de URL die de telefoon toont er vreemd uitziet of een verkorter gebruikt, open hem dan niet.

Helpt een antivirusprogramma tegen quishing? Sommige betaalde QR-readers hebben filters voor kwaadaardige domeinen. De meeste native camera's niet, maar ze tonen wel de URL voordat ze hem openen. Die URL is je eerste verdedigingslinie.

Hoe weet ik of de site waarnaar een QR me heeft gebracht officieel is? Kijk naar het hoofddomein in de browserbalk, controleer het HTTPS-certificaat en vergelijk met de officiële website door zelf Google te raadplegen. Als het niet exact overeenkomt, voer je geen gegevens in.