Quishing: hoe oplichters QR-codes misbruiken — en waaraan veilige codes te herkennen zijn

Het parkeerbiljet is betaald, denk je — in werkelijkheid zijn de creditcardgegevens zojuist op de server van oplichters beland. Mogelijk maakt dat een sticker: een vervalste QR-code, over de echte code van de automaat geplakt. „Quishing" heet die truc, een samentrekking van QR en phishing. Consumentenorganisaties en politiediensten waarschuwen al geruime tijd voor zulke gevallen bij parkeerautomaten, bij laadpalen en in vervalste bankbrieven. Reden tot paniek is dat niet — wel echter aanleiding om de eigen scangewoonten tegen het licht te houden.

Waarom uitgerekend QR-codes? Omdat ze de perfecte schuilplaats zijn. Een link in een e-mail laat zich lezen voordat je erop klikt; een QR-code is voor het menselijk oog een betekenisloos patroon. Waarheen hij leidt, verneem je pas na de scan. Daar komt de context bij: een code op een officiële automaat erft diens geloofwaardigheid — nauwelijks iemand rekent erop dat de gemeente is overplakt. En de inspanning van de daders is minimaal: een vel kleefetiketten en een willekeurige codegenerator volstaan. De techniek zelf is daarbij zo neutraal als papier en drukinkt — iedereen kan met elk werktuig een code op elk willekeurig adres aanmaken.

De bekende trucs lijken op elkaar. Bij parkeerautomaten en laadpalen leiden overplakte codes naar bedrieglijk echte betaalpagina's die creditcardgegevens opvragen. In vervalste brieven die zogenaamd van banken komen, vervangt de QR-code de klassieke phishinglink — papier oogt betrouwbaar en omzeilt elk spamfilter. Ook verzonnen boetes met de oproep om gemakshalve per code te betalen zijn gedocumenteerd, evenals stickers op pakketberichten. Het doel is steeds hetzelfde: betaalgegevens of toegangsgegevens, ingezameld op een nagebouwde website.

Hoe verschillend de decors ook zijn, de dramaturgie lijkt op elkaar. Bijna altijd werkt de truc met tijdsdruk: de rekening zou worden geblokkeerd, de wagen weggesleept, de aanmaningskosten opeisbaar, als er niet binnen minuten wordt gehandeld. Daar komt vaak een ongebruikelijke weg voor een alledaagse handeling bij — de bank die plots per brief tot scannen oproept, de instantie die betalingen via een onbekende pagina afwikkelt. Beide zijn klassieke signalen van social engineering, en beide werken onafhankelijk van de techniek: de QR-code is alleen de drager. Wie zich aanwent juist bij ervaren tijdsdruk trager te worden, ontneemt de truc haar belangrijkste hefboom — geen serieuze aanbieder straft het af wanneer een betaling vijf minuten later via de officiële weg plaatsvindt.

De belangrijkste bescherming zit er allang in, maar wordt zelden bewust benut: de voorbeeldweergave van de link. Moderne telefoons tonen na de scan eerst het doeladres voordat ze een pagina openen. Die seconde is de beslissende. Lezen loont nauwkeurig — en wel van achteren: doorslaggevend is het eigenlijke domein onmiddellijk vóór de extensie, niet het begin van het adres. „uwbank.betaal-service.example" is niet van de bank, maar van de exploitant van „betaal-service.example". Ook omgedraaide tekens, extra koppeltekens en ongebruikelijke extensies zijn waarschuwingssignalen.

Twee finesses maken het lezen moeilijker dan het klinkt. Ten eerste korten sommige camera-apps lange adressen in de voorbeeldweergave af — zichtbaar is dan alleen het onschuldig ogende begin, niet het beslissende domein. Wie onzeker is, laat zich het volledige adres tonen voordat hij het opent. Ten tweede bestaan er domeinen met schrifttekens uit andere alfabetten die op het verwisselen af op Latijnse letters lijken; veel browsers geven zulke adressen ter bescherming weer in een technische schrijfwijze met het voorvoegsel „xn--". Wie zo'n tekenreeks in de voorbeeldweergave ziet hoewel hij een vertrouwd merk verwacht, heeft alle reden tot voorzichtigheid. Kortelinkdiensten ten slotte verbergen het eigenlijke doel volledig — bij alles wat met geld of toegangsgegevens te maken heeft, is het overtikken van het bekende adres de veiligste weg.

De tweede blik geldt de code zelf. Plakt hij op de automaat in plaats van erop gedrukt of achter folie te liggen? Staat hij scheef, overlapt hij andere opschriften, tekent hij zich voelbaar af van het oppervlak? Een etiket over het origineel is het meest voorkomende patroon bij quishing in de openbare ruimte. Bij twijfel geldt: de officiële weg nemen — de app van de exploitant, het opgedrukte servicenummer of de betaalautomaat zelf.

Ten derde: gevoelige handelingen hebben na een scan in de openbare ruimte niets te zoeken. Wie na het scannen van een code betaalgegevens, wachtwoorden of een transactiecode moet invoeren, breekt beter af en tikt het bekende adres zelf in of gebruikt de officiële app. Bij brieven met QR-code helpt een telefoontje naar de bank — via het nummer op de bankpas, niet via dat in de brief. Serieuze instellingen aanvaarden die omweg klaglos; wie op haast aandringt, maakt zich verdacht.

Een verbreide dwaling verdient een eigen waarschuwing: het slotsymbool in de browser is geen keurmerk. Het toont alleen dat de verbinding versleuteld is — niet met wie men versleuteld communiceert. Phishingpagina's gebruiken tegenwoordig vrijwel doorgaans HTTPS. De vraag is dus nooit of een pagina een slot heeft, maar van wie het domein is.

Verschil maakt ook het werktuig in de eigen hand. De camera-apps van moderne telefoons tonen het doeladres en wachten op een bewuste bevestiging — precies dat innehouden is het beschermingsmechanisme. Scannerapps van derde aanbieders openen links daarentegen deels automatisch, tonen advertenties of eisen bevoegdheden die met het scannen niets te maken hebben. Wie zo'n app gebruikt, controleert het best of het automatisch openen uit te schakelen valt — of ziet er helemaal van af: voor de dagelijkse praktijk volstaat de voorgeïnstalleerde camera volledig. Waar die ontbreekt, bijvoorbeeld op oudere apparaten, is een scannerapp met voorbeeldweergave en zuinige bevoegdheden de juiste keuze.

Bij de waarheid hoort echter ook: niet elke doorverwijzing is verdacht. Veel legitieme codes uit reclame en handel lopen eerst via het korte domein van een QR-dienst voordat ze op het doel aankomen — zo werken dynamische codes, waarvan het doel achteraf wijzigbaar blijft en waarvan de scans voor de bereikmeting worden geteld. Een tussenstap via een onbekend kort adres is daarom op zichzelf geen bewijs van bedrog — net zomin als het ontbreken ervan een bewijs van veiligheid is.

Hoe aanbieders met die transparantievraag kunnen omgaan, laat de Duitse QR-dienst QR2GO zien: hij stelt voor elke code meerdere doorverwijsmodi ter keuze — een zichtbare doorverwijzing waarbij de tussenstap herkenbaar blijft, een verdekte variant met telling en een directe modus zonder omweg. Voor consumenten blijft de les desondanks dezelfde: beslissend is niet de weg, maar het doel — welk adres uiteindelijk in de browser staat en wat de pagina daar verlangt.

Verhinderen kan een generator het misbruik namelijk niet — geen aanbieder controleert waar een eenmaal aangemaakte code wordt opgeplakt, en oplichters kunnen elk willekeurig werktuig gebruiken. De bescherming ligt daarom niet in de techniek, maar in de gewoonte: doeladres lezen, context controleren, bij geld en wachtwoorden wantrouwig worden. Het is dezelfde waakzaamheid die zich bij e-maillinks allang heeft ingeburgerd — alleen dat ze bij de QR-code pas na de scan kan beginnen.

Een eigen facet heeft het onderwerp in de beroepspraktijk. Veiligheidsdiensten en consumentenbeschermers observeren sinds enige tijd phishingmails die in plaats van een link een QR-code bevatten — met een berekend neveneffect: de code wordt met de privételefoon van het beeldscherm gescand, en daarmee verlaat de aanval de beveiligde bedrijfscomputer met al zijn filters en beschermingsprogramma's. Het aanmeldscherm dat dan op het mobieltje verschijnt, lijkt vaak tot in detail op het portaal van de werkgever. De tegenregel is eenvoudig en laat zich in het team verankeren: zakelijke toegangsgegevens worden principieel niet ingevoerd op pagina's die via een gescande code zijn bereikt — en verdachte berichten horen aan de IT-afdeling gemeld te worden, niet in de prullenbak.

Belangrijk voor de inschatting: de scan zelf richt in de regel nog geen schade aan. Gevaarlijk wordt het pas wanneer de geopende pagina tot invoer oproept, downloads aanbiedt of tot de installatie van een app aandringt. Wie een verdachte pagina eenvoudigweg sluit en niets heeft ingevoerd, hoeft meestal niets verder te vrezen — een controlerende blik op de eerstvolgende rekeningafschriften schaadt desondanks nooit.

Is er toch iets gebeurd, dan telt tempo. Zijn er kaartgegevens ingevoerd, dan zou de kaart onverwijld geblokkeerd moeten worden — in Duitsland centraal via het blokkeernoodnummer 116 116 of rechtstreeks bij de bank. Betrokken wachtwoorden horen meteen gewijzigd te worden, bij hergebruik ook op alle andere diensten. Aangifte bij de politie is ook bij kleine bedragen zinnig, omdat ze onderzoekspatronen zichtbaar maakt; de consumentenorganisaties verzamelen phishingmeldingen daarnaast. Rekeningmutaties zouden in de weken erna aandachtig gecontroleerd moeten worden.

Ook de tegenpartij kan iets doen. Ondernemingen die codes openbaar ophangen, versterken het vertrouwen door het doeladres in leesbare tekst ernaast te drukken — wie wil, kan het overtikken, en alle anderen kunnen op zijn minst de voorbeeldweergave ermee vergelijken. Een consistent uiterlijk met kleuren en logo helpt eveneens, maar is geen bewijs, want vormgeving laat zich kopiëren. Werkzamer is de regelmatige controle ter plaatse — een overplakte code valt bij de wekelijkse ronde op — en een plaatsing die het overplakken op zijn minst bemoeilijkt.

Voor exploitanten van automaten en laadpalen laat zich dat tot een vaste gang van zaken verdichten: een overzicht bijhouden welke code op welke locatie hangt en waarheen hij leidt; het personeel zo inwerken dat een vreemde sticker bij het legen of onderhouden opvalt; en een eenvoudige meldweg voor tips uit de klantenkring scheppen. Wordt een manipulatie ontdekt, dan geldt: de valse code meteen afdekken of verwijderen, de toestand vooraf fotograferen, aangifte doen — en bij de automaat goed zichtbaar erop wijzen dat betalingen alleen via de officiële wegen zouden moeten verlopen. Wie de klantenkring daarnaast via de eigen kanalen informeert, beperkt de schade en wint vertrouwen terug.

Uiteindelijk is quishing geen nieuw gevaar, maar een oud in een nieuw jasje: phishing volgt de aandacht, en de aandacht is bij de QR-code aangekomen. Het antwoord blijft onveranderd — een korte controlerende blik voordat er gegevens vloeien. Wie het doeladres van een gescande code net zo aandachtig leest als de afzender van een verdachte e-mail, heeft de truc het meeste van haar verschrikking ontnomen.