QR-CODE-FRAUDE:
QUISHING HERKENNEN

Quishing is phishing via een QR-code, de term is een samentrekking van ‘QR’ en ‘phishing’. Het principe is hetzelfde als bij een nepmail: je wordt naar een valse pagina gelokt die eruitziet als een bekende dienst, met als doel dat je daar inloggegevens, betaalgegevens of een verificatiecode invult. Het verschil zit in de vermomming. Waar je een verdachte link in een mail vaak nog kunt zien voordat je klikt, verbergt een QR-code het webadres volledig achter een blokje zwart-witte vierkantjes. Je scant, en pas dan zie je waar je terechtkomt, als je überhaupt goed kijkt.

Het bekendste Nederlandse voorbeeld speelt zich af bij de parkeerautomaat. De politie waarschuwde voor nepstickers met een QR-code die criminelen over de echte QR-code op parkeerautomaten en parkeerborden plakken, onder meer in Amsterdam, Maastricht en Sittard-Geleen. Wie de sticker scant, komt niet bij de officiële parkeerdienst uit, maar op een valse betaalpagina die sprekend lijkt op die van een bekende parkeerapp. Het bedrag dat je betaalt, gaat rechtstreeks naar de criminelen, je parkeersessie wordt nooit geregistreerd, met een parkeerboete als extra tegenvaller bovenop het verlies van je geld. Ook de ANWB waarschuwde eerder al voor exact dit soort valse QR-stickers op parkeerautomaten, wat laat zien dat het geen incident in één stad is, maar een landelijk terugkerend patroon.

Parkeerautomaten zijn maar één toepassing. Dezelfde truc duikt op bij laadpalen voor elektrische auto’s, waar een QR-code je vraagt eerst ‘te registreren’ met volledige kaartgegevens voordat je kunt laden. Ook op terrassen en in restaurants worden QR-codes op tafelkaartjes soms vervangen: in plaats van het menu kom je op een pagina waar meteen om een betaling wordt gevraagd. En steeds vaker verschijnt de truc digitaal, in een mail of sms met een QR-code erin, bijvoorbeeld voor een ‘openstaand bedrag’, een pakketje dat nog een kleine toeslag zou vergen, of een ‘beveiligingscontrole’ van een bank of overheidsinstantie die je vraagt in te loggen via de bijgevoegde code. Juist omdat veel mensen inmiddels wél op hun hoede zijn voor verdachte links, voelt een QR-code voor sommigen nog als iets nieuws en onschuldigs. Dat maakt hem voor criminelen een aantrekkelijke vermomming.

Wat quishing bovendien lastig maakt om te herkennen, is dat een QR-code zelf nooit vies of vals oogt, het is altijd hetzelfde patroon van vierkantjes, of hij nu naar een betrouwbare of een kwaadaardige site verwijst. De enige manier om het verschil te zien, is door na het scannen goed naar het webadres te kijken vóórdat je iets invult. Precies dat stapje wordt door de haast en de context, een parkeerbon die dreigt, een laadpaal die niet start, een tafel waaraan je honger hebt, vaak overgeslagen.

Voor criminelen is een sticker met een QR-code bovendien opvallend goedkoop en laagdrempelig om te verspreiden, vergeleken met veel andere vormen van fraude. Er is geen malware nodig, geen gehackt account, geen ingewikkeld phishingscript, alleen een paar euro aan stickers en een namaakwebsite die er ongeveer echt uitziet. Diezelfde sticker kan bovendien op tientallen automaten tegelijk worden geplakt, in verschillende steden, voordat een gemeente of parkeerdienst het opmerkt en de stickers laat verwijderen. Dat maakt het aantrekkelijk om op grote schaal en met weinig risico veel kleine bedragen te innen, in plaats van te mikken op één grote buit.