Welke QR-code-aanbieder is veilig?

Ons antwoord: een QR-code-aanbieder is veilig als hij je account beschermt, je gedrukte adressen aan niemand anders geeft en scanners behoedt voor frauduleuze doelen. Same-QR dekt alle drie de lagen af, met één lacune die we hieronder openlijk noemen. Controleer bij elke aanbieder alle drie, niet alleen het wachtwoord.

Laag 1: je account

Wie je account overneemt, kan elke gedrukte QR-code omleiden, bijvoorbeeld naar een valse betaalpagina. Let op een sterk wachtwoord, inloggen met een tweede factor als de aanbieder die biedt, en eigen sleutels voor programma's in plaats van gedeelde wachtwoorden. Programma's moeten alleen werken met sleutels die verlopen.

Laag 2: je adressen

Het adres in de QR-code zit in het drukwerk. Wordt het na verwijderen opnieuw uitgegeven, dan leiden je oude stickers naar de inhoud van een vreemde. Vraag of verwijderde adressen geblokkeerd blijven. Handig is ook een geschiedenis van elke doelwijziging, zodat je ziet wie wanneer iets heeft omgezet.

Laag 3: de mensen die scannen

Frauduleuze QR-codes komen steeds vaker voor, vaak als sticker over een echte QR-code. Een aanbieder kan niet voorkomen dat iemand er iets overheen plakt. Hij kan wel voorkomen dat zijn dienst voor oplichting wordt gebruikt: verdachte doelen weigeren, een mogelijkheid tot melden bieden en gemelde QR-codes blokkeren.

Wat je zelf kunt doen

• Controleer openbaar opgehangen QR-codes regelmatig op overgeplakte stickers.
• Schrijf het korte adres klein onder de QR-code, zodat scanners het kunnen vergelijken.
• Geef medewerkers en programma's eigen toegang in plaats van je wachtwoord.
• Controleer na elke wijziging met je telefoon waar de QR-code naartoe leidt.
• Vraag op de doelpagina nooit om bankgegevens zonder dat duidelijk is wie je bent.

Waaraan scanners een echte QR-code herkennen

Het adres dat de telefoon toont voordat hij opent, moet bij het bedrijf passen. Een QR-code die naar een vreemde betaalpagina leidt, is verdacht. Leg je klanten uit waar jouw QR-code hangt en hoe hij eruitziet.

Zo doet Same-QR het

• wachtwoorden alleen als sterke hash, inloggen ook met Google en de tweede factor daarvan
• sleutels voor programma's met een looptijd van 30 tot 365 dagen
• korte adressen van verwijderde QR-codes nooit opnieuw uitgegeven, doelgeschiedenis per QR-code
• kale IP-adressen als doel geweigerd, melden bij QR-codes en pagina's, geblokkeerde QR-codes tonen een waarschuwing
• Lacune: geen eigen tweestapsverificatie, wie die wil, logt in met Google

Conclusie

Veiligheid bij QR-codes betekent: account beschermen, adressen nooit opnieuw uitgeven, oplichting melden en stoppen. Controleer alle drie de lagen en zorg zelf voor de controle ter plekke.

Veelgestelde vragen