QR code oplichting: zo herken je het en wat je moet doen

QR code oplichting, ook wel quishing genoemd, is een vorm van fraude waarbij criminelen een nep-QR-code gebruiken om jouw persoonlijke gegevens te stelen of geld van je rekening af te halen. Je scant wat er uitziet als een gewone code, maar je wordt doorgestuurd naar een valse website of jouw gegevens worden direct buitgemaakt. Het is een groeiend probleem, mede omdat QR-codes overal zijn: op parkeerautomaten, in restaurants, in e-mails en op straat.

Het gevaarlijke aan deze vorm van oplichting is dat een QR-code er altijd hetzelfde uitziet, of hij nu echt of nep is. Je kunt geen verschil zien met het blote oog. Dat maakt quishing lastig te herkennen, maar niet onmogelijk.

Hoe werkt QR code oplichting precies?

Criminelen plaatsen een nep-QR-code op een plek waar jij hem vertrouwt. Dat kan een sticker zijn die over een echte code heen geplakt is, een QR-code in een phishingmail of een code op een nep-betaalpagina. Zodra je scant, gebeurt er een van de volgende dingen:

Je wordt doorgestuurd naar een valse website die eruitziet als een echte bank, webshop of overheidsdienst. Je voert je inloggegevens in, en die gaan rechtstreeks naar de oplichter.
Je wordt gevraagd een betaling te doen. De betaalomgeving lijkt echt, maar het geld gaat naar een rekening van de fraudeur.
Er wordt automatisch schadelijke software op je telefoon geïnstalleerd zodra je de link opent.

Een veelvoorkomend voorbeeld: je staat bij een parkeerautomaat en scant de QR-code om te betalen. De code is echter vervangen door een nep-sticker. Je vult je gegevens in op een nagemaakte betaalpagina, en je betaalt niet voor parkeren maar aan een crimineel. Tegelijk kunnen je bankgegevens worden opgeslagen voor toekomstig misbruik.

Waar duikt QR code fraude het vaakst op?

Oplichters plaatsen nep-QR-codes op plekken waar mensen gewend zijn om te scannen zonder er lang bij stil te staan. De meest voorkomende plekken zijn:

Parkeerautomaten en laadpalen voor elektrische auto’s
Tafeltenten en menu’s in horeca
Flyers en posters op straat of in openbare ruimtes
E-mails die doen alsof ze van je bank, pakketbezorger of de Belastingdienst komen
Whatsapp- en sms-berichten met een zogenaamd pakket of prijs

Ook in pakketbezorgingsfraude zit quishing verwerkt. Je krijgt een berichtje dat je pakket niet bezorgd kon worden, met een QR-code om een nieuwe levertijd in te plannen. De code leidt naar een nagemaakte bezorgsite die om je betaalgegevens vraagt.

Zo herken je een nep-QR-code

Helemaal zeker weten of een QR-code echt is, is moeilijk. Maar er zijn dingen waar je op kunt letten voordat je scant of gegevens invult.

Let op stickers. Een QR-code die als sticker over een ander oppervlak geplakt is, is een direct waarschuwingssignaal. Controleer of de code echt bij het object hoort.
Bekijk de URL na het scannen. Voordat je een link opent, toont je telefoon meestal de bestemming. Is het een vreemd adres, een lange rij willekeurige tekens of een domein dat net niet klopt (zoals “ing-betalingen.nl” in plaats van “ing.nl”)? Ga er niet naartoe.
Wordt er om betaalgegevens gevraagd? Betaal nooit via een link die je via een QR-code bereikt, tenzij je 100% zeker bent dat de site echt is. Twijfel je? Ga zelf naar de website via je browser.
Klopt de context? Vraagt een QR-code in een winkel plotseling om je DigiD of bankpas? Dat klopt nooit.

Wat doe je als je slachtoffer bent van quishing?

Ben je gegevens ingevuld of een betaling gedaan via een verdachte QR-code? Handel dan zo snel mogelijk.

Blokkeer je bankpas of rekening. Neem direct contact op met je bank. De meeste banken hebben een 24-uurs fraudelijn. Hoe sneller je belt, hoe groter de kans dat een overboeking nog gestopt kan worden.
Verander je wachtwoorden. Heb je inloggegevens ingevuld op een valse site? Verander die wachtwoorden direct, ook bij andere accounts waar je hetzelfde wachtwoord gebruikt.
Doe aangifte bij de politie. Aangifte doen kan online via Politie.nl. Dit helpt ook anderen, omdat de politie patronen in oplichtingspraktijken in kaart brengt.
Meld het bij je bank. Banken kunnen frauduleuze rekeningen laten blokkeren en onderzoeken of je recht hebt op terugbetaling.

Heb je schadelijke software gedownload? Zet je telefoon offline, verwijder de app en laat je apparaat controleren. In ernstige gevallen kan een fabrieksreset nodig zijn.

Veelgestelde vragen over QR code oplichting

Kan ik opgelicht worden door alleen een QR-code te scannen, zonder iets in te vullen?
In de meeste gevallen niet. De schade ontstaat pas als je gegevens invult of een betaling doet. Toch zijn er gevallen bekend waarbij het openen van een link al voldoende was om malware te installeren, met name op kwetsbare of verouderde apparaten. Houd je telefoon altijd up-to-date.

Is QR code oplichting strafbaar?
Ja. Quishing valt onder oplichting en computercriminaliteit, beide strafbaar in Nederland.

Kan mijn bank het geld terugboeken?
Dat hangt af van de situatie. Als je zelf actief een betaling hebt gedaan (ook al was je misleid), is terugboeken moeilijker dan bij een ongeautoriseerde afschrijving. Meld het altijd zo snel mogelijk; banken beoordelen elke situatie apart.

QR code oplichting is zo effectief omdat het inspeelt op vertrouwen en haast. De beste bescherming is een seconde pauzeren voor je scant: waar kom ik terecht, en klopt dat met wat ik verwacht? Die korte check kan je een hoop ellende besparen.