Quishing: valse QR-codes herkennen en als bedrijf voorkomen

Quishing is een samentrekking van "QR" en "phishing". Het gaat om oplichting waarbij een QR-code naar een pagina leidt die niet van degene is die je denkt. Bekend zijn overgeplakte QR-codes op parkeerautomaten en laadpalen: iemand plakt een eigen QR-code over de echte, en wie scant, komt op een nagebouwde betaalpagina terecht.

De truc werkt omdat je een QR-code het adres niet aanziet. Precies daar zetten de tegenmaatregelen in, voor lezers en voor bedrijven.

Zo herken je een echt adres

De camera-app toont na het scannen het adres voordat er iets wordt geopend. Lees het, in plaats van meteen te tikken. Beslissend is het deel tussen „https://“ en de eerste schuine streep, dat is het domein.

• qr.deinefirma.at/speisekarte hoort bij deinefirma.at. Dat is het domein van het bedrijf.
• deinefirma.at.parkzahlen-jetzt.com hoort daarentegen bij parkzahlen-jetzt.com, ook al staat de bedrijfsnaam voorop. Doorslaggevend is altijd het einde van het domein.
• Let op typefouten, verwisselde letters en extra streepjes in de naam.
• Verkorte links van vreemde diensten verbergen het doel. Bij een parkeerautomaat of een factuur is dat een reden om beter te kijken.
• Vraagt de pagina na het scannen meteen om betaalgegevens, wachtwoorden of een download, dan is voorzichtigheid terecht.

Ter plekke controleren voordat je scant

• Strijk met je vinger over de sticker. Voel je een rand of kun je een hoek optillen, dan kan eronder een tweede QR-code zitten.
• Ziet de QR-code er anders uit dan de rest van de opschriften, bijvoorbeeld ander papier, andere druk, scheve plaatsing, dan is dat verdacht.
• Staat naast de QR-code een adres in gewone tekst, vergelijk dat dan met wat de camera-app toont.
• In geval van twijfel typ je het adres zelf in of vraag je het personeel. Betalen kan bij de automaat vaak ook op een andere manier.

Wat bedrijven kunnen doen

Overplakken is niet helemaal te voorkomen, want iedereen kan een sticker aanbrengen. Maar je kunt veel dingen gemakkelijker controleerbaar maken.

• Druk het adres in gewone tekst onder de QR-code, goed leesbaar en kort genoeg om over te typen. Wie het vergelijkt, merkt een afwijking meteen.
• Gebruik een eigen subdomein zoals qr.deinefirma.at in plaats van een vreemd domein. Gasten leren dat echte QR-codes van jouw bedrijf altijd met jouw naam beginnen.
• Controleer je QR-codes regelmatig, bijvoorbeeld bij elke ronde, en zet het in een vast schema.
• Breng QR-codes zo aan dat overplakken opvalt: direct op het materiaal gedrukt, onder een beschermfolie of in een lijst, in plaats van als losse sticker.
• Vertel het je gasten. Een zin als "Echte QR-codes van ons beginnen met qr.deinefirma.at" op de kaart of de tafel helpt meer dan je denkt.
• Houd de scancijfers in de gaten. Valt een QR-code die normaal vaak wordt gescand plotseling terug naar bijna nul, dan is een kijkje ter plekke op zijn plaats.

Wat een eigen domein doet en wat niet

Een eigen domein voorkomt niet dat iemand er een vreemde QR-code overheen plakt. Maar het helpt bij het herkennen: je gasten zien jouw naam in het adres, en een valse QR-code valt eerder op. Bovendien is het domein van jou, je kunt het op elk moment meenemen naar een andere aanbieder, en gedrukte QR-codes blijven geldig.

Bij Same-QR kies je zelf het pad bij het aanmaken van een nieuwe QR-code, bijvoorbeeld qr.deinefirma.at/speisekarte. Dat is kort, goed te onthouden en gemakkelijk onder de QR-code te drukken. Een eigen domein is er vanaf Gastro Pro of Marketing Starter, bestaande QR-codes behouden hun adres.

Veelgestelde vragen