Quishing — nätfiske via QR-koder

QR-koder är bekväma och används överallt — på restauranger, parkeringsautomater, busshållplatser, paketleveranser och reklamannonser. Tyvärr har cyberkriminella inte heller missat den möjligheten. Quishing — en kombination av orden "QR" och "phishing" (nätfiske) — är en växande attackmetod där skadliga QR-koder används för att lura offer till falska webbplatser, stjäla inloggningsuppgifter eller installera skadlig kod.

Den här artikeln förklarar hur quishing fungerar, hur du känner igen en misstänkt QR-kod och vad du kan göra för att skydda dig — som privatperson och som företag.

Vad är quishing?

Traditionellt nätfiske sker via e-postlänkar — "Klicka här för att bekräfta ditt konto." Många e-posttjänster och webbläsare filtrerar nu bort misstänkta URL:er.

Quishing kringgår dessa filter. Istället för en klickbar länk i e-posten infogas en bild av en QR-kod. E-postfiltret kan inte analysera vart QR-koden leder — det ser bara en bild. Offret skannar koden med telefonen (som ofta har sämre säkerhetsskydd) och hamnar på en falsk webbsida.

Vanliga quishing-scenarier

Falsk parkeringsautomat

En kriminell klistrar en falsk QR-kod ovanpå den legitima koden på en parkeringsautomat. Offret skannar och dirigeras till en falsk betalsida som ser ut som Easypark eller Aimo Park — och kreditkortsuppgifterna stjäls.

Paketleverans-SMS

"Ditt paket från PostNord har fastnat i tullen. Skanna för att betala en avgift." QR-koden leder till en falsk PostNord-sida.

Falsk restaurangmeny

På en restaurang med QR-meny kan en kriminell klistra en falsk QR-kod ovanpå den riktiga — och rikta gästen till en sida som ber om betalningsinformation.

E-post från "banken"

"Vi behöver verifiera din identitet. Skanna QR-koden nedan." Koden leder till en sida som ser ut som din bank — men all inmatad information går direkt till bedragarna.

Offentliga platser

Falska QR-koder klistras på affischer, busskurar, väggmonterade skyltpaneler och till och med på andra QR-koder i butiksmiljöer.

Hur du identifierar en misstänkt QR-kod

1. Kontrollera URL:en innan du går in

De flesta moderna telefoner visar URL:en som QR-koden leder till innan du bekräftar att du vill öppna den. Läs alltid URL:en.

Vad du bör leta efter:

• Konstigt domännamn: postnord-leverans.net är inte PostNords riktiga domän (postnord.se)
• Lätt förväxlade tecken: paypa1.com (med siffran 1 istället för L), arnazon.com
• Onödiga subdomäner: swedbank.login-secure.com — den riktiga domänen är swedbank.se
• HTTP istället för HTTPS: om sidan saknar HTTPS är det ett varningstecken

2. Klistermärke ovanpå original

Titta på QR-koden fysiskt. Sitter den som ett klistermärke ovanpå det ursprungliga underlaget? Det kan vara ett tecken på manipulation. Rapportera till etablissemang eller myndighet.

3. Kontext som inte stämmer

Varför ber en parkeringsautomat dig att skanna en QR-kod till en okänd sida? Varför skickar din bank e-post med QR-kod istället för att be dig logga in på din normala webbsida? Ifrågasätt alltid logiken.

4. Brådskande ton

"Agera nu eller ditt konto stängs." "Du har 24 timmar." Brådska är ett klassiskt nätfisketrick — ta din tid att verifiera.

Vad du gör om du skannat en misstänkt kod

1. Stäng webbläsaren omedelbart om sidan verkar misstänkt
2. Ange inga uppgifter — lämna sidan utan att fylla i något
3. Kontrollera konto: om du ändå angav uppgifter, ändra lösenord omedelbart och kontakta din bank
4. Rapportera: anmäl incidenten till företaget vars identitet missbrukats (t.ex. PostNord, din bank)
5. Polisanmäl: i Sverige gör du en anmälan via polisen.se

Säkerhetstips för privatpersoner

• Installera en QR-skanner med förhandsgranskning som visar URL:en innan du öppnar (de flesta inbyggda kameror gör redan detta)
• Använd en mobilsäkerhetslösning (t.ex. Lookout, Bitdefender Mobile) som varnar för skadliga URL:er
• Lita inte på QR-koder i oönskade e-postmeddelanden eller SMS — gå direkt till webbplatsen via webbläsaren istället
• Aktivera tvåfaktorsautentisering (2FA) på dina konton — även om inloggningsuppgifter stjäls minskar 2FA skadan avsevärt

Råd för företag och organisationer

Företag är också mål. Quishing-attacker mot anställda kan leda till företagsnätverks-intrång via stulna inloggningsuppgifter.

Utbildning

• Inkludera quishing i er säkerhetsutbildning
• Visa konkreta exempel och låt anställda öva på att identifiera falska koder
• Uppdatera utbildningen med nya scenarier regelbundet

Tekniska åtgärder

• Implementera Mobile Device Management (MDM) som filtrerar skadliga URL:er på mobila enheter
• Använd e-postsäkerhet (Microsoft Defender for Office 365, Proofpoint) som analyserar QR-koder i e-post
• Konfigurera DNS-filtrering som blockerar kända skadliga domäner

Skydda era egna QR-koder

Om ditt företag eller din organisation använder QR-koder måste ni säkra dem mot manipulation:

• Laminera QR-koder som är permanent monterade — svårare att klistermärka ovanpå
• Kontrollera era utplacerade QR-koder regelbundet
• Lägg URL:en synlig i text under QR-koden — kunder kan verifiera att det stämmer
• Använd ett välkänt domännamn som mottagare lätt kan känna igen

QRcito och skaparsäkerhet

QRcito är ett verktyg för att skapa QR-koder, inte skanna dem. När du skapar en QR-kod med QRcito:

• Körs all kodgenerering i din webbläsare — ingen data skickas till server
• Lagras ingen information om dina koder, dina URL:er eller dina mottagare
• Finns ingen användarregistrering som kan hackas

Du är ansvarig för att de URL:er du kodar i dina QR-koder är legitima och leder till rätt plats. GDPR-ansvar och säkerhetsansvar för innehållet ligger hos dig som skapare.

Håll dig informerad

Quishing-metoder utvecklas snabbt. Håll dig uppdaterad via:

• CERT-SE (cert.se): Sveriges nationella CSIRT med aktuella varningar
• Konsumentverket (konsumentverket.se): information om aktuella bedrägerier
• Polisens bedrägeriupplysning (polisen.se/bedragerier)
• IT-säkerhetsnyhetsbrev från Recorded Future, Krebs on Security

Sammanfattning

Quishing är ett reellt och växande hot. Det bästa skyddet är kombinationen av teknisk vaksamhet (verifiera URL:er, använd säkerhetsprogram) och sunt förnuft (ifrågasätt QR-koder i oväntade sammanhang, lämna aldrig känsliga uppgifter via en QR-kod du inte litar på).

Vill du skapa egna, pålitliga QR-koder för ditt företag? Använd qrcito.com/sv/ — ett gratis, GDPR-vänligt verktyg som körs helt i webbläsaren utan att lagra dina uppgifter.