Key takeaways
- Quishing maakt van een vertrouwde QR-code een sluipweg naar uw bankgegevens.
- Van een terugbetaling tot een parkeerboete, fraudeurs verpakken hun phishing steeds vaker in QR-codes.
- Eén scan kan volstaan om op een valse website terecht te komen, maar wat gebeurt er daarna?
Phishing is al lang geen onbekend begrip meer. Valse e-mails, sms’en en telefoontjes proberen consumenten ertoe te verleiden hun wachtwoorden, bankgegevens of andere persoonlijke informatie prijs te geven. Maar naast de klassieke klik op een verdachte link blijft één techniek opvallend aan populariteit winnen: quishing, oftewel phishing via een QR‑code. Business AM zet het voor u op een rij.
De techniek maakt handig gebruik van een technologie die intussen overal aanwezig is. QR-codes staan op restaurantmenu’s, parkeerautomaten, affiches, betalingsverzoeken en steeds vaker ook in e-mails. De massale doorbraak van QR-codes tijdens en na de coronapandemie heeft die gewoonte nog versterkt, waardoor het scannen van een code voor veel gebruikers een bijna automatische reflex is geworden. Precies die vertrouwdheid maakt ze interessant voor cybercriminelen. Een kwaadaardige website zit immers niet langer zichtbaar achter een verdachte URL, maar verborgen in een zwart-witpatroon.
Wat is quishing precies?
De term quishing is een samentrekking van QR en phishing. Het principe is eenvoudig: een oplichter maakt een QR-code die verwijst naar een website, betaalpagina of andere bestemming die door de aanvaller wordt gecontroleerd.
De gebruiker scant de code met zijn smartphone en krijgt vervolgens bijvoorbeeld een nagemaakte website van een bank, overheidsdienst of andere vertrouwde organisatie te zien. Daar wordt gevraagd om inloggegevens, persoonlijke informatie of betaalgegevens in te vullen. Oplichters gebruiken daarbij steeds vaker artificiële intelligentie (AI) om berichten geloofwaardiger te maken, waardoor de klassieke taalfouten of onlogische formuleringen steeds minder zichtbaar zijn.
Het kan ook verder gaan. Een QR-code kan slachtoffers naar een downloadpagina leiden waar schadelijke software wordt aangeboden. In andere scenario’s wordt de gebruiker rechtstreeks naar een betaalapp of een andere legitieme applicatie gestuurd, waarbij de aanvaller probeert de gebruiker een frauduleuze handeling te laten uitvoeren.
Waarom zijn QR-codes zo aantrekkelijk voor oplichters?
QR-codes zijn ontworpen om informatie snel toegankelijk te maken. Ze kunnen onder meer URL’s, betalingsinformatie en contactgegevens bevatten. Het grote voordeel voor de gebruiker is tegelijk het voordeel voor de fraudeur: de bestemming is niet met het blote oog zichtbaar.
Dat maakt een QR-code bijzonder geschikt om een kwaadaardige URL te verbergen. Een gebruiker kan een verdachte webadres vaak herkennen aan een vreemde domeinnaam of een spelfout. Bij een QR-code ziet hij in eerste instantie alleen een patroon.
Ook beveiligingssystemen kunnen daardoor voor een uitdaging staan. ESET wijst erop dat QR-codes sommige klassieke beveiligingsfilters kunnen omzeilen. Een kwaadaardige link wordt immers als afbeelding aangeboden. Bovendien kan de interactie zich verplaatsen van een goed beveiligde bedrijfscomputer naar een persoonlijke smartphone, waarop mogelijk minder beveiligingsmaatregelen actief zijn.
Volgens het ESET Threat Report H1 2026 zat in de eerste helft van dit jaar in minstens 11 procent van de phishingmails een kwaadaardige QR-code. ESET heeft daarvoor een specifieke detectielaag die QR-codes in bestanden probeert te herkennen, de daarin vervatte URL’s decodeert en vervolgens controleert op phishing, malware en spam.
Quishing kan zowel digitaal als fysiek gebeuren
Wie bij phishing uitsluitend aan e-mails denkt, loopt een deel van het risico mis. Een QR-code kan immers vrijwel overal worden geplaatst.
Digitale voorbeelden zijn e-mails, sms’en, berichten via chatapps en sociale media. Maar ook fysieke dragers zijn mogelijk: affiches, flyers, stickers, brieven, parkeerautomaten of andere plaatsen waar mensen gewend zijn een QR-code te scannen.
Een bijzonder verraderlijke techniek bestaat erin een bestaande, legitieme QR-code fysiek te overschrijven of te bedekken met een frauduleuze code. De gebruiker denkt bijvoorbeeld een officiële parkeer- of betaalcode te scannen, terwijl de sticker naar een website van de fraudeur leidt. Daarnaast verstoppen oplichters QR‑codes soms in PDF‑ of afbeeldingsbijlagen, waardoor de link niet zichtbaar is en klassieke beveiligingsfilters de kwaadaardige URL moeilijker kunnen detecteren.
De klassieke truc: een valse betaling of terugbetaling
Een veelgebruikte aanpak speelt in op geld. De boodschap kan beweren dat er nog een rekening moet worden betaald, dat een betaling mislukt is of dat de ontvanger juist recht heeft op een terugbetaling.
Een recent Belgisch voorbeeld dat door Safeonweb werd gesignaleerd, draaide rond een vermeende terugbetaling van meer dan 300 euro. De ontvanger kreeg de vraag om een QR-code te scannen en bankgegevens te bevestigen. De QR-code leidde vervolgens naar een nagemaakte website waar onder meer bankgegevens, een pincode of een antwoordcode voor internetbankieren konden worden buitgemaakt.
De algemene les is duidelijk: een bericht dat u onverwacht via een QR-code naar een betaal- of identificatiepagina stuurt, verdient extra wantrouwen.
Het gevaar zit daarbij niet alleen in het stelen van persoonsgegevens. Een frauduleuze QR-code kan rechtstreeks naar een valse betaalpagina leiden, waar slachtoffers hun kaart- of bankgegevens invoeren. In andere gevallen proberen oplichters hen een betaling te laten uitvoeren of een beveiligingscode van hun bank door te geven.
Een brief die er officieel uitziet
Quishing beperkt zich niet tot digitale berichten. Ook een fysieke brief kan worden gebruikt.
In een gemeld scenario ontvingen slachtoffers een brief die afkomstig leek van een bank. Een QR-code in de brief moest de klant naar een online omgeving leiden. In werkelijkheid kwam die terecht op een nagemaakte bankomgeving die bedoeld was om gevoelige toegangsgegevens te onderscheppen.
Het gevaar zit hier in de context. Een brief op papier voelt voor veel mensen nog altijd officiëler aan dan een onverwachte e-mail. Maar een QR-code verandert niet van karakter omdat hij op papier staat.
Van korting tot valse vacature
Fraudeurs kunnen bovendien vrijwel elk onderwerp gebruiken als lokmiddel.
Zo kunnen QR-codes worden gebruikt voor zogezegde kortingen, waarbij het slachtoffer na het scannen op een valse webshop belandt en betaalgegevens moet invullen. Ook fictieve evenementtickets behoren tot de mogelijkheden. De code lijkt toegang te geven tot tickets, maar leidt naar een frauduleuze betaalpagina.
Een andere variant richt zich op werkzoekenden. Een aantrekkelijke vacature bevat een QR-code waarmee de kandidaat zogezegd naar een sollicitatieformulier wordt geleid. De achterliggende website vraagt vervolgens persoonlijke of financiële informatie.
Ook pakketfraude is een voor de hand liggend scenario: een bericht beweert dat een pakket moet worden opgevolgd, dat een levering problemen ondervindt of dat een kleine bijkomende betaling nodig is. De QR-code brengt de gebruiker naar een valse website waar gegevens worden verzameld of schadelijke software kan worden aangeboden.
Zelfs een restaurantmenu is niet automatisch veilig
De verspreiding van QR-codes in het dagelijkse leven heeft de technologie bijzonder vertrouwd gemaakt. Dat geldt ook voor restaurants.
Een QR‑code op een menu kan perfect legitiem zijn, maar criminelen kunnen zelf een frauduleuze code op een menu of sticker plaatsen, vaak zonder dat het restaurant dat merkt. Na het scannen wordt de gebruiker bijvoorbeeld doorgestuurd naar een malafide website. Het wijdverspreide gebruik van QR‑codes sinds de coronapandemie heeft die techniek alleen maar aantrekkelijker gemaakt voor fraudeurs.
De aanwezigheid van een QR-code is dus geen bewijs dat de bestemming betrouwbaar is.
Waar moet u op letten?
De belangrijkste voorzorgsmaatregel is misschien ook de eenvoudigste: scan niet automatisch.
Komt een QR-code onverwacht binnen via e-mail, sms of een chatbericht, vraag u dan eerst af waarom u die zou moeten scannen. Een bericht dat beweert dat u dringend een betaling moet uitvoeren, uw bankgegevens moet bevestigen of uw account moet beveiligen, probeert vaak druk te creëren.
Na het scannen verschijnt bij veel smartphones eerst de URL waarnaar de QR-code verwijst. Neem de tijd om die te controleren. Klopt de domeinnaam? Ziet het webadres er logisch uit? Staan er vreemde tekens of onverwachte toevoegingen in?
Safeonweb adviseert bijvoorbeeld om bij overheidscommunicatie rechtstreeks naar de officiële omgeving te gaan door het adres zelf in de browser in te typen, in plaats van een QR-code uit een onverwachte e-mail te gebruiken.
Geef nooit zomaar bankgegevens door
Een QR-code verandert niets aan de basisregels voor veilig internetbankieren. Een bank zal u bijvoorbeeld niet vragen om via een onverwachte QR-code uw pincode of een code uit uw bankapp door te geven. Krijgt u na het scannen zo’n verzoek, dan moet u ervan uitgaan dat er iets niet klopt. Moet u na het scannen uw gebruikersnaam, wachtwoord, kaartgegevens, pincode of een code van uw bankapp invoeren? Stop dan en controleer eerst via een onafhankelijk kanaal of de vraag echt is.
Ook wanneer de website er professioneel uitziet, is dat geen garantie. Phishingpagina’s worden steeds overtuigender nagebouwd en kunnen logo’s, kleuren en lay-outs van echte organisaties imiteren.
Cloudflare wijst er in de aangeleverde bronnen eveneens op dat gebruikers na het scannen van een QR-code geen persoonlijke informatie moeten invullen, geen betalingen moeten uitvoeren en niets moeten downloaden zolang ze de bestemming niet hebben geverifieerd.
Kijk verder dan de QR-code zelf
Een verdachte QR-code staat zelden helemaal op zichzelf. De boodschap errond kan belangrijke aanwijzingen bevatten.
Is er sprake van grote tijdsdruk? Wordt er gedreigd met een boete, blokkering of verlies van toegang? Wordt u een onverwachte terugbetaling beloofd? Wordt u gevraagd een account onmiddellijk te beveiligen?
Dat zijn klassieke technieken uit de wereld van social engineering. Ook bij quishing proberen criminelen niet zozeer de technologie te kraken, maar de gebruiker te overtuigen zelf de gewenste handeling uit te voeren.
De combinatie met bekende merken en instellingen maakt de aanpak nog geloofwaardiger. ESET wijst erop dat aanvallers vertrouwde huisstijlen en bekende diensten kunnen gebruiken en daar een gevoel van urgentie aan koppelen.
Quishing wordt steeds geavanceerder
De QR-code hoeft zelfs niet noodzakelijk naar een klassieke phishingwebsite te leiden.
Volgens ESET worden QR-codes ook gebruikt om MFA-tokens te bemachtigen, malware rechtstreeks te laten downloaden en gebruikers naar legitieme apps te sturen die vervolgens voor frauduleuze doeleinden worden misbruikt. Zo kan een slachtoffer bijvoorbeeld worden aangezet om een aanvaller via zijn eigen account te authenticeren of om in een betaalapp een vooraf ingevulde betaling te bevestigen.
Dat toont meteen waarom enkel de regel “controleer de website” niet altijd volstaat. Ook de handeling die daarna wordt gevraagd, moet kritisch worden bekeken.
En wat met phishing?
Quishing is uiteindelijk geen volledig nieuwe vorm van fraude, maar een nieuwe manier om een oude techniek uit te voeren.
Bij phishing worden slachtoffers meestal via e-mail naar een valse website geleid. Daar proberen criminelen bijvoorbeeld gebruikersnamen, wachtwoorden of bankgegevens te bemachtigen. De boodschap doet zich vaak voor als communicatie van een vertrouwde organisatie en probeert de ontvanger tot een snelle actie te bewegen.
Er bestaan bovendien meer gerichte vormen, zoals spearphishing. Daarbij wordt de boodschap specifiek aangepast aan een persoon of organisatie, waardoor de fraude geloofwaardiger kan overkomen.
Smishing: phishing via sms
Bij smishing gebeurt hetzelfde via een sms. De ontvanger krijgt bijvoorbeeld een bericht over een pakket, een rekening, een bankprobleem of een andere urgente kwestie, doorgaans met een link.
Het doel is opnieuw om het slachtoffer naar een frauduleuze omgeving te brengen of persoonlijke informatie te laten delen. De kleine schermen van smartphones maken het bovendien niet altijd eenvoudig om de volledige URL te beoordelen.
Vishing: de oplichter belt u op
Vishing staat voor voice phishing. Hier wordt de telefoon het wapen.
De fraudeur doet zich bijvoorbeeld voor als een medewerker van een bank, technologiebedrijf of andere vertrouwde organisatie. Vervolgens probeert hij persoonlijke of financiële informatie te ontfutselen of het slachtoffer een bepaalde handeling te laten uitvoeren.
Ook hier speelt tijdsdruk een belangrijke rol. De beller kan beweren dat er verdachte transacties zijn vastgesteld en dat onmiddellijk moet worden ingegrepen. Moderne technieken zoals caller-ID-spoofing maken het bovendien mogelijk om een telefoonnummer geloofwaardiger te laten lijken.
Spoofing: de afzender is niet altijd wie hij lijkt
Spoofing is iets anders dan phishing, maar wordt er vaak mee gecombineerd. Het gaat om het vervalsen van bepaalde kenmerken zodat een communicatie afkomstig lijkt van iemand anders.
Bij e-mailspoofing kunnen bijvoorbeeld eigenschappen van een bericht worden aangepast waardoor het lijkt alsof de e-mail van een legitieme afzender komt. Bij URL-spoofing wordt dan weer een webadres nagebootst. Dat kan via subtiele spelfouten, misleidende domeinen of tekens die sterk lijken op de oorspronkelijke letters.
Daarom volstaat het niet om alleen naar de naam van de afzender te kijken.
Terug naar quishing: wat als u toch hebt gescand?
Wie per ongeluk een verdachte QR-code scant, hoeft niet automatisch slachtoffer te zijn. Het risico ontstaat vooral wanneer daarna gegevens worden ingevoerd, een betaling wordt uitgevoerd, een applicatie wordt geïnstalleerd of een andere verdachte actie wordt uitgevoerd.
Hebt u wel bankgegevens of andere gevoelige informatie ingegeven of is er geld verdwenen, dan is snelheid belangrijk. De FOD Economie adviseert om de bank zo snel mogelijk te contacteren en, indien nodig, betaalmiddelen en relevante accounts te laten blokkeren. Bij financiële fraude kan daarnaast aangifte bij de politie en een melding bij de bevoegde instanties aangewezen zijn.
De gouden regel: vertraag even
Quishing maakt gebruik van een merkwaardige tegenstelling: hoe sneller technologie ons naar informatie kan brengen, hoe belangrijker het soms wordt om juist even te vertragen.
Een QR-code scannen is eenvoudig. De echte vraag is wat er daarna gebeurt. Wie vraagt om uw gegevens? Naar welk webadres wordt u gestuurd? Waarom moet u precies nu betalen of authenticeren? En kunt u dezelfde informatie niet rechtstreeks via de officiële website of app opzoeken?
ESET benadrukt dat organisaties het risico kunnen verkleinen met een combinatie van bewustmaking, technische beveiliging, phishingbestendige multifactor-authenticatie, actuele software en een goed incidentenplan.
Voor consumenten blijft de basis echter eenvoudig: vertrouw niet op de QR-code, maar controleer de bestemming en de handeling die erop volgt. Een QR-code kan handig zijn, maar het is uiteindelijk niet meer dan een verpakking rond informatie. En precies die verpakking gebruiken cybercriminelen steeds vaker om phishing minder zichtbaar te maken.
Wat als u toch geld hebt overgemaakt?
Wie na het scannen van een QR-code geld heeft overgemaakt of bankgegevens heeft doorgegeven, wacht best niet af. Neem zo snel mogelijk contact op met de bank en laat verdachte transacties controleren. Controleer ook de rekening op andere onbekende verrichtingen.
Bewaar intussen het bericht of de brief waarin de QR-code stond, samen met het webadres waarop u terechtkwam. Die informatie kan helpen om de fraude te onderzoeken en te melden.
Wil je meer technieuws ontvangen? Schrijf je in op onze wekelijkse Tech Insider-nieuwsbrief
Volg Business AM ook op Google Nieuws
Wil je toegang tot alle artikelen, geniet tijdelijk van onze promo en abonneer je hier!
