Een QR-code op een parkeermeter of in een brief: hoe weet je of hij te vertrouwen is?

QR-codes staan inmiddels overal: op parkeerautomaten, in brieven van instanties, op menukaarten. Handig, maar ook een gouden kans voor oplichters. Zo herken je een verdachte code voordat je scant.

Je stapt uit de auto bij een klant, loopt naar de parkeerautomaat en ziet een QR-code met "Snel betalen zonder wachten". Handig, want kleingeld heb je toch niet meer bij je. Of: er ligt een brief op je bureau van wat lijkt op de Belastingdienst met een QR-code om "direct in te loggen". Scannen of niet?

QR-codes zijn de laatste jaren snel populair geworden, en dat is oplichters ook opgevallen. Ze plakken hun eigen sticker over de echte code op een parkeerautomaat, sturen brieven die officieel lijken, of hangen posters op met "gratis wifi". De term die je er soms voor hoort is quishing — phishing via QR. Voor jou als ondernemer of kantoorbeheerder is het handig om te weten waar je op moet letten, zonder paranoïde te worden.

Waarom een QR-code lastiger te controleren is dan een link in een mail

Bij een verdachte mail kun je met je muis over de link zweven en zien waar hij naartoe wijst. Bij een QR-code zie je alleen een blokjespatroon. Je telefoon scant hem, en voor je het weet zit je op een website. Precies dat maakt hem geliefd bij fraudeurs: er zit geen tussenstap waarin je twijfelt.

Daar komt bij dat je een QR-code meestal op je telefoon opent, niet op een laptop. Een telefoonscherm is klein, de adresbalk staat vaak half verborgen, en malafide sites zijn op mobiel lastiger te herkennen. Precies waar de oplichter op mikt.

Vier plekken waar je nu extra alert op mag zijn

• Parkeerautomaten en oplaadpalen. Vooral in grote steden zijn er meldingen van QR-stickers die over de originele code zijn geplakt. Je betaalt dan wel, maar niet aan de gemeente of de parkeerdienst.
• Brieven die "officieel" lijken. Belastingdienst, RDW, CJIB, KvK — allemaal populaire afzenders om na te doen. Een QR-code met "log direct in" is een rode vlag.
• Menukaarten en flyers. Een sticker op een tafeltje of een folder in de wachtruimte is zo overplakt.
• Facturen en aanmaningen per post of PDF. "Scan om te betalen" klinkt netjes, maar leidt soms naar een nagemaakte iDEAL-pagina.

Zo check je een QR-code voor je iets invult of betaalt

Het goede nieuws: je hoeft geen specialist te zijn om een verdachte code te herkennen. Vier gewoontes zijn genoeg.

1. Kijk eerst naar de sticker zelf

Zit er een QR-code die duidelijk óver iets anders is geplakt? Steekt hij af, zit hij scheef, of is de rand net iets te dik? Bij een parkeerautomaat: is er ook een originele code eronder of ergens anders op het apparaat? Vertrouw je het niet, betaal dan met de app van de aanbieder of gewoon met je pinpas.

2. Lees de URL vóór je op "openen" tikt

Vrijwel elke moderne telefoon toont eerst de link die achter de code zit, voordat de website opent. Neem even de tijd om die te lezen. Klopt het domein? Staat er echt belastingdienst.nl, of iets als belastingdienst-inlog.com of bel-dienst.nl? Twijfel je? Niet openen. Typ het adres liever handmatig in je browser.

3. Wees extra voorzichtig als er om inloggegevens of betaling wordt gevraagd

Een QR-code die je naar een informatiepagina brengt is zelden een probleem. Een QR-code die vraagt om je DigiD, je bankgegevens of een creditcardbetaling? Daar mag je gerust wantrouwig over doen. Officiële instanties sturen je zelden via een QR-code direct naar een inlogscherm.

4. Twijfel je over de bestemming? Check het IP en de site apart

Kwam de code uit een mail of een PDF en wil je weten waar hij naartoe wijst zonder hem echt te openen? Kopieer de link (bij lang indrukken op de code kan dat vaak) en plak hem in onze IP-lookup. Je ziet dan bij welk bedrijf en in welk land het domein staat. Een "Belastingdienst"-link die uit Rusland komt: einde verhaal.

Wat je op kantoor kunt afspreken

Een korte huisregel is meestal genoeg om gedoe te voorkomen:

1. QR-codes uit ongevraagde brieven of mails scannen we niet. We zoeken zelf de officiële website op.
2. Betalingen via een QR-code op straat doen we alleen via de app van de aanbieder (Parkmobile, Yellowbrick, EasyPark, of pinnen).
3. Zien we een sticker die overduidelijk overgeplakt is? Even melden bij de beheerder van het apparaat, en collega's waarschuwen.
4. Twijfelen mag altijd. Liever één keer te veel navragen dan één keer te weinig.

En als het toch misging?

Heeft iemand op kantoor per ongeluk toch iets ingevuld? Wacht niet af. Bel direct de bank als het om een betaling of bankgegevens ging, verander wachtwoorden van accounts die je op dat apparaat gebruikt, en zet zo mogelijk tweestapsverificatie aan als dat nog niet stond. Doe ook aangifte — niet omdat je je geld daarmee terugkrijgt, maar omdat het helpt bij het opsporen.

Klein moment, groot verschil

QR-codes zijn niet eng, ze zijn gewoon een snelkoppeling. Maar net als bij een klink aan een deur: even kijken wie er aan de andere kant zit, voor je hem opendoet. Twee seconden naar de URL kijken voor je op "openen" tikt, en je vangt 95% van de rotzooi al af.

Wil je een verdachte link of domeinnaam laten checken voor je er iets mee doet? Gebruik onze IP-lookup om te zien waar hij staat, of vraag ons een korte beveiligingscheck als je twijfelt of je kantoor genoeg beschermd is.