Is een QR-code veilig? Zo herken je een nepcode

Het scannen zelf is geen risico. Je camera of scanner leest de blokjes en zet ze om in tekst. Op dat moment wordt er niets geïnstalleerd en niets betaald. Wat daarna gebeurt, telt: open je een link, verbind je met een netwerk of start je een betaling? Daarom is het belangrijk dat je ziet wat er in de code staat voordat er iets gebeurt. Een scanner die links direct opent, haalt dat controlemoment weg.

Quishing is phishing via een QR-code. In plaats van een verdachte link in een mail krijg je een code te zien. Omdat je een code niet met je ogen kunt lezen, valt een nepadres minder op. Bovendien scan je meestal met je telefoon, waar de adresbalk klein is en je sneller doorklikt. Het doel is hetzelfde als bij gewone phishing: je laten inloggen op een nagemaakte pagina, je bankgegevens laten invullen of je iets laten installeren.

Voor oplichters heeft een QR-code voordelen. Een sticker is goedkoop en snel geplakt. Een code in een mail of pdf wordt door sommige spamfilters minder goed herkend dan een gewone link, omdat het adres in een afbeelding zit. En wie scant, doet dat vaak onderweg, met haast en op een klein scherm. Die combinatie maakt een nepcode doeltreffend. Het goede nieuws: een paar seconden kijken voordat je een link opent, maakt al veel verschil.

Een fake QR-code kan opduiken op elke plek waar mensen gewend zijn om te scannen. Denk aan:

• een sticker over de echte code op een parkeerautomaat, laadpaal of fietsenstalling;
• een code in een mail of brief die zegt dat je een boete, belastingschuld of pakketkosten moet betalen;
• een flyer onder je ruitenwisser of in je brievenbus met een aanbieding die te mooi lijkt;
• een nagemaakte tafelkaart of poster in een café of op een station;
• een code via een chatbericht van een onbekend nummer, of van een bekende die ineens vreemd schrijft.

Sommige kenmerken zijn een duidelijke waarschuwing. Een verkorte link verbergt waar je uitkomt, dus wees daar extra kritisch op. Een slotje of https zegt alleen dat de verbinding versleuteld is, niet dat de site betrouwbaar is. Let ook op cijfers in plaats van letters, zoals een 0 voor een o, en op een merknaam die ergens midden in een lange link staat. Vraagt een pagina na het scannen meteen om in te loggen, te betalen of een app te installeren, wees dan extra voorzichtig.

Een veilige scanner geeft jou de controle. Let bij het kiezen op deze punten.

Sommige scanner-apps openen een link meteen zodra de code herkend is. Dat voelt snel, maar dan zit je al op de pagina voordat je hebt kunnen kijken. De scanner bovenaan deze pagina doet dat bewust niet. Je ziet eerst de naam van de website, en bij een link die verdacht oogt krijg je een waarschuwing. Pas als jij kiest om te openen, ga je erheen. Bovendien gebeurt het uitlezen op je eigen apparaat; er wordt geen foto of screenshot geüpload. Zo werkt onze gratis scanner.

De ingebouwde camera van een iPhone of Android-telefoon opent een link normaal gesproken pas als jij tikt. Eerst verschijnt een melding of knop met de inhoud. Dat is een goed controlemoment, als je de moeite neemt om te lezen wat er staat. Op een klein scherm wordt een lange link soms ingekort weergegeven. Wil je het hele adres rustig bekijken, gebruik dan een scanner die alles laat zien. Hoe het per toestel werkt, lees je bij scannen met een iPhone en scannen met Android.

Niet alleen links verdienen aandacht. Een wifi-code kan je laten verbinden met een netwerk van iemand anders, die dan kan meekijken met onbeveiligd verkeer. Controleer daarom of de netwerknaam klopt met de zaak waar je bent. Bij een betaalcode zie je in je bankapp aan wie je betaalt: lees die naam altijd voordat je bevestigt. Een code die een sms of telefoonnummer klaarzet, kan naar een duur betaalnummer leiden. Je telefoon vraagt eerst om bevestiging, dus kijk dan even naar het nummer.

Een garantie bestaat niet, maar een paar vragen helpen. Hangt de code op een logische plek, en is hij niet over een andere code heen geplakt? Past de domeinnaam bij de organisatie die je verwacht? Vraagt de pagina alleen wat je op die plek zou verwachten, zoals een menukaart bij een restaurant? Kun je al die vragen met ja beantwoorden, dan is het risico klein. Twijfel je, betaal of log dan in via de officiële app of een website die je zelf intypt.

Heb je een verdachte code gescand, maar niets ingevuld? Sluit de pagina en meld de code bij de eigenaar van de automaat, de winkel of de gemeente, zodat anderen er niet in trappen. Heb je wel gegevens ingevuld, handel dan snel.

• Bankgegevens of een betaling: bel direct je bank via het nummer op je pas of hun eigen website.
• Een wachtwoord: verander het meteen, ook op andere sites waar je hetzelfde wachtwoord gebruikt.
• Een app geïnstalleerd: verwijder hem en laat je toestel zo nodig nakijken.
• Schade of misbruik: doe aangifte bij de politie en meld het bij de Fraudehelpdesk.

Maak je zelf QR-codes voor je zaak of evenement, help je bezoekers dan met controleren. Zet de websitenaam in leesbare tekst bij de code, zodat mensen kunnen vergelijken. Gebruik een domein dat ze herkennen, en kijk geregeld of er geen sticker over je eigen code is geplakt. Een link naar je eigen website zet je gratis om in een QR-code van een link. Test hem voor het printen met de scancheck. De basis van het scannen lees je bij hoe scan je een QR-code.