Kan een QR-code echt gevaarlijk zijn

Een QR-code vertelt op zichzelf niet of de bestemming veilig is. Meestal bevat hij een webadres, Wi-Fi-toegang, een betaling of een actie in een app. Het risico zit dus niet in het patroon zelf, maar in wat er na het scannen wordt geopend.

In de praktijk verlaagt gemak de waakzaamheid. Mensen scannen een affiche, ticket, menu of kiosk en handelen soms voordat ze de site of actie hebben gecontroleerd.

Betalingen, authenticatie, appdownloads, gasttoegang en productinformatie gebruiken QR-codes omdat ze frictie verminderen. Die toepassingen zijn op zichzelf niet verdacht en vaak erg nuttig.

De praktische consensus is eenvoudig: een QR-code is niet automatisch gevaarlijk. Wel verdwijnt vaak de stap waarin een gebruiker een adres zorgvuldig zou lezen.

Het probleem gaat verder dan klassiek phishing. Een QR-code kan naar een nagebouwde site leiden, een valse betaling voorstellen, een onverwacht bestand downloaden of misbruik maken van vertrouwen in een fysieke locatie. Zogeheten quishing-campagnes gebruiken precies dit mechanisme.

Sommige scanapps tonen het adres duidelijk vóór het openen, andere nauwelijks. Het risico hangt dus af van het systeem, de app, de plek en de gevraagde actie.

Een omleiding naar een valse portal kan een wachtwoord of betaalgegevens onderscheppen. Een frauduleuze code op een openbare kiosk kan een betaling omleiden. En een ondoordachte download kan ongewenste software binnenhalen.

De aanval is vaak opportunistisch in plaats van zeer geavanceerd, maar de gevolgen zijn concreet: gestolen inloggegevens, misleidende betalingen, dataverzameling of blootstelling van een mobiel toestel.

Bekijk vóór je handelt het domein, controleer of de code fysiek over een andere code lijkt te zijn geplakt, voer geen gevoelige gegevens in zonder de site te controleren en navigeer bij kritieke diensten liever handmatig. Bij een betaling controleer je ook de ontvanger en de context.

Op een professioneel of gevoelig toestel is het verstandig om spontane scans van onbekende codes te beperken. Het doel is niet alles weigeren, maar de controle terugbrengen die de snelkoppeling heeft weggehaald.