'Gevaarlijke QR-codes' in omloop: politie waarschuwt voor verdachte brieven aan huis

"Pas op!", schrijft de politie uit de Amsterdamse Pijp op Instagram. "Scan nooit zomaar een QR-code van een onbekende afzender."

Het fenomeen van oplichting met QR-codes wordt ook wel 'quishing' genoemd, afgeleid van het bekendere 'phishing', waarbij mensen met neplinkjes worden opgelicht. Afgelopen maart zag een wijkagent in Naarden ook al een brief met zo'n nepcode voorbijkomen. Op die brief werd zelfs geclaimd dat de code afkomstig was van DigiD.

Het ministerie van Economische Zaken beschrijft de fraudemethode als 'een kwaadaardige QR-code', waarmee slachtoffers worden doorverwezen naar dubieuze websites of applicaties. De bedoeling is om aan gevoelige gegevens te komen, of om een slachtoffer te stimuleren een betaling te doen. Het ministerie zegt daarbij dat QR-codes makkelijk aan te maken zijn.

Gegevens invullen

Wees gerust: enkel het scannen van de QR-code zorgt er niet zomaar voor dat je bankrekening leeg wordt getrokken. De code is 'eigenlijk gewoon een link'. Een woordvoerder van de Fraudehelpdesk legt uit dat het probleem vooral zit in dat je via de code zelf niet kan zien naar welke link je wordt geleid. Het kan dus prima dat je op een 'gewone' website terechtkomt, maar het kan dus ook naar een oplichtingswebsite leiden. "Je ziet het gewoon niet meteen", zegt de woordvoerder.

Het risico daarbij is dat je niet altijd goed kunt zien of een website te vertrouwen is of niet. Het politieteam dat heeft gewaarschuwd voor de kaartjes, geeft daarbij de tip: "Controleer altijd de URL die je bezoekt, en zoek naar verdachte tekens." Als je dus bijvoorbeeld wordt geleid naar 'gooogle.com', moet je je even achter de oren krabben waarom er een extra 'o' in de link staat.

Parkeerautomaten

Afgelopen november hadden criminelen ook al een nieuwe truc met QR-codes gevonden. Zij plakten toen QR-codes op parkeerautomaten, waardoor onwetende bestuurders zonder dat door te hebben hun betaalgegevens achterlieten op een scamwebsite. Zij dachten gewoon hun parkeerkosten te betalen, maar werden opgelicht. De oplichters gingen daarbij slim te werk en gebruikten de logo's van bijvoorbeeld parkeerapp Easypark voor extra geloofwaardigheid.

De Fraudehelpdesk heeft nog geen concrete meldingen over deze nieuwe truc met QR-codes in brievenpost ontvangen. De politie roept mensen die een verdacht kaartje in de brievenbus krijgen op om hier een melding van te maken.

Tips om 'quishing' te herkennen:

• Scan nooit een QR-code zonder begeleidende tekst of afbeelding.
• Wees voorzichtig met QR-codes die op publieke plaatsen zijn opgehangen (zoals pleinen, stations of winkelcentra) en niet duidelijk zijn verbonden aan een bepaald merk of organisatie.
• Gebruik bij voorkeur een 'veilige' QR-code-scanner die voorafgaand controleert waar (welke URL of domein) je naartoe wordt gestuurd voordat je daar daadwerkelijk op belandt. Herken je het webadres waar je naar toe wordt geleid niet? Klik dan niet verder.
• Zodra je na het scannen op een website terechtkomt waar je gevraagd wordt om gevoelige gegevens (zoals wachtwoorden of financiële data) achter te laten, dan raden we je aan dit niet te doen. Tenzij je zeker weet dat de website legitiem is.
• Controleer of de QR-code daadwerkelijk in de poster of afbeelding is gedrukt en niet als sticker opgeplakt is. Zodra je het idee hebt dat je de QR-code er gemakkelijk van af kunt halen, is aan te raden deze niet te scannen.

Bron: ministerie van Economische Zaken

QR-codes worden gelukkig niet alleen door fraudeurs gebruikt. Vorig jaar bleek dat collectanten er ook steeds vaker gebruik van maken, waardoor er twee keer zoveel geld wordt opgehaald voor goede doelen: