Wat is QR Phishing? Hoe QR Code Scams detecteren en voorkomen

Quishingof QR-code phishingis het nieuwste in de lange rij van cyberbeveiligingsbedreigingen. Hoe belachelijk het ook klinkt, het is nuttig om je er bewust van te zijn omdat het het verlies van geld, tijd en de reputatie van je bedrijf kan voorkomen.

QR codes zijn overal: op menukaarten, posters, apps en websites van bedrijven. Ze zijn populair omdat gebruikers hun camera kunnen gebruiken om de QR-code te scannen zoals een weblink om naar een website te gaan. 

Als iets makkelijk is voor gebruikers, is het ook makkelijk uit te buiten door cybercriminelen. Deze kwaadwillenden gebruiken QR-codes om gebruikers door te sturen naar een andere website dan waar ze denken heen te gaan, waardoor hun persoonlijke gegevens toegankelijk worden voor hackers. 

In dit artikel wordt uitgelegd hoe cybercriminelen QR-codes gebruiken om phishing-aanvallen uit te voeren. Er wordt ingegaan op veelvoorkomende tactieken, voorbeelden uit de praktijk, preventiestrategieën en best practices op het gebied van cyberbeveiliging.

Wat is QR Phishing (Quishing)?

QR phishing (Quishing) is wanneer hackers QR-codes gebruiken om gebruikers om te leiden naar kwaadaardige of frauduleuze sites in plaats van de site waar de gebruiker denkt naartoe te gaan wanneer hij de code scant. De sites waar de gebruiker naartoe wordt geleid zijn sites die kwaadwillenden gebruiken om informatie van gebruikers te stelen, zoals referenties en bankgegevens, of om kwaadwillende software te installeren om andere informatie te stelen. 

Quishing-aanvallen zijn moeilijker te detecteren dan traditionele phishing-aanvallen omdat het kopiëren van QR-codes voor kwaadaardige inhoud complexer is dan het scannen van traditionele URL's. Het is dus moeilijker om quishers te pakken dan phishers. Het is dus moeilijker om quishers te pakken dan phishers. 

Hoe QR Phishing-aanvallen werken

Als je precies weet hoe QR phishing werkt, begrijp je hoe je het kunt bestrijden en je klanten veilig kunt houden. Laten we eerst eens kijken naar een stap-voor-stap analyse van Quishing en vervolgens naar veelvoorkomende aanvalsscenario's, zodat je weet waar je op moet letten.

Stap-voor-stap analyse van QR Phishing aanvallen

Laten we eens kijken hoe Quishing precies werkt.

De stappen van Quishing omvatten:

1. Creatie van kwaadaardige QR codes: Hackers maken kwaadaardige QR codes die links bevatten naar frauduleuze websites die voordelen geven aan de hackers in plaats van de originele QR makers. 
2. Plaatsing in e-mails, posters, websites en berichten: QR scammers verspreiden hun QR codes en leggen ze over originele codes heen, zodat slachtoffers geen idee hebben dat ze een frauduleuze code scannen. 
3. Het slachtoffer scant en wordt omgeleid naar een phishingsite of malwaredownload: Wanneer slachtoffers dit doen, is het onmogelijk voor hen om te zien dat een QR code nep is omdat er geen onderscheidende kenmerken zijn met de originelen. 

Veelvoorkomende Quishing-aanvalscenario's

Veel aanvalsscenario's komen voor wanneer QR scammers virtuele vallen zetten voor slachtoffers met behulp van QR codes. 

Enkele van de meest voorkomende Quishing-aanvalscenario's zijn:

• Valse inlogpagina's (bijv. bank-, e-mail- of bedrijfsportalen): Oplichters maken vaak inlogpagina's die er bijna identiek uitzien als de originelen van websites met klanten met gevoelige informatie die hackers willen hebben, zoals banken of bedrijfsportals.
• Valse klantenenquêtes met prikkels: Iedereen wil gemakkelijk geld verdienen door een snelle enquête in te vullen en oplichters maken misbruik van dit verlangen om informatie te stelen. Slachtoffers geven toe aan hun behoefte om geld te verdienen als ze hun gegevens invullen, die hackers ontvangen in plaats van legitieme bedrijven.
• QR-codes in valse parkeer- of betaalfacturen: Ooit een parkeer- of betaalrekening gehad? Veel mensen wel, en deze valse QR-codes maken gebruik van de urgentie die mensen voelen om rekeningen of parkeerboetes te betalen om boetes of zelfs gevangenisstraf te voorkomen. De urgentie leidt tot uitbuiting door de quishers, die bankgegevens ontvangen die ze gebruiken om geld te stelen.
• Valse QR-codes in zakelijke apps: Bedrijven zijn niet immuun voor QR scams. Kwaadwillenden kunnen hun eigen valse QR-code over een legitieme leggen, bijvoorbeeld een CRM of een app voor prikkloktijden voor een mobiel apparaat. De oplichters hebben de gegevens van de werknemers en mogelijk toegang tot bedrijfsgegevens.

Waarom QR Phishing gevaarlijk is

QR phishing lijkt een paar mensen te verrassen, maar is het echt zo gevaarlijk? Het korte antwoord is ja. 

Quishing kan slachtoffers jaarlijks miljoenen dollars kosten omdat ze moeilijk te herkennen zijn. Mensen vertrouwen QR-codes, mobiele apparaten hebben een zwakkere beveiliging en hackers vinden het makkelijk om langs traditionele e-mailbeveiligingsfilters te komen die niet het ontwerpprofiel hebben om bescherming te bieden tegen deze generatie hackers. 

De kosten van wereldwijde cybercriminaliteit zijn opgelopen tot 9,22 biljoen dollar en zullen waarschijnlijk stijgen door de introductie van nieuwe cybercriminaliteit zoals sQuishing. Het kost bedrijven en klanten momenteel enorme bedragen, waardoor het de moeite waard is om stappen te ondernemen om het te voorkomen.

Een voorbeeld uit de echte wereld van een QR Phishing aanval

Het is één ding om te leren over Quishing-aanvallen, maar het wordt pas echt duidelijk als je hoort over de manier waarop het invloed heeft gehad op bedrijven en gemeenschappen met voorbeelden uit de praktijk. Het eerste voorbeeld is een ongelukkige persoon die $17.000 verloor.

Slachtoffer verliest £13k aan QR Scammers

In november 2023 werd een zeer ongelukkige 71-jarige vrouw in Newcastle, Engeland, het slachtoffer van een QR-code oplichterij, die leidde tot een enorm verlies van $17,000. De kwaadwillenden bereiken hun zwendel door een valse QR-code over de officiële code op een parkeerbord te leggen.

In eerste instantie leek het geld van de dame veilig te zijn, want toen ze haar bankgegevens invoerde op de frauduleuze website, stopte haar bank de transactie. Helaas gebruikten de oplichters een andere techniek: ze deden zich voor als bankmedewerkers en moedigden haar met succes aan om een lening van $9.500 af te sluiten. De kwaadwillende handelde vervolgens snel, veranderde haar bankgegevens, kreeg nieuwe kaarten en zette een online account op. 

Het resultaat van de lokale overheid was het verwijderen van alle QR-codes uit alle parkeergarages van TransPennine Express.

Deze incidenten kunnen nog vele jaren nadat ze hebben plaatsgevonden gevolgen hebben voor individuen, omdat het een enorme uitdaging is om besparingen van duizenden euro's terug te verdienen, zoals we in het bovenstaande voorbeeld zien. 

Hoe beschermen tegen QR Phishing

QR phishing scams zijn geniepig en moeilijk op te sporen. Het goede nieuws? Het is nog steeds mogelijk om ze te voorkomen. 

Volg deze best practices en technische beveiligingsmaatregelen om u en uw organisatie te beschermen tegen QR phishing aanvallen:

Gebruikersbewustzijn en beste praktijken

Ten eerste moet je altijd de bronnen van QR codes verifiëren. Je kunt hiervoor een speciale app gebruiken, maar QR scammers zijn stiekem, dus controleer of de QR verificatie app echt is voordat je hem installeert en gebruikt, want scammers kunnen ook nep apps maken om toegang te krijgen tot je gegevens. 

Gebruik vervolgens apps die QR-codes scannen voordat je links opent. Deze best practice voorkomt dat je links opent als je niet zeker weet waar je naartoe gaat. 

En tot slot, als je ooit twijfelt over een bron, scan dan geen QR-code en controleer deze voordat je scant. 

Technische beveiligingsmaatregelen

Als je een organisatie bent, en vooral een onderneming, heb je veel meer te verliezen dan de meeste individuen, zoals werknemer gegevens, miljoenen dollars en onherstelbare schade aan de reputatie van uw bedrijf.

Implementeer multi-factor authenticatie (MFA) voor aanmeldingen om QR phishing aanvallen te voorkomen. Bij deze methode wordt een code naar de telefoon van de gebruiker gestuurd telkens als hij wil inloggen, waardoor QR-code scammers met een extra beveiligingslaag worden tegengehouden.

Je tweede benadering is het gebruik van cyberbeveiligingsoplossingen met functies om QR phishing-zwendel te detecteren. Deze functie beschermt je tegen deze bedreiging. 

Bied ten slotte trainingen aan die werknemers leren over social engineering-bedreigingen zoals QR phishing-zwendel, zodat ze deze efficiënt kunnen detecteren en vermijden. 

Eindnoot

QR phishing is gevaarlijk omdat het individuen geld kan kosten, gegevens kan beschadigen en de reputatie van een organisatie kan schaden. 

Het is moeilijk om QR phishing scams te ontdekken in vergelijking met traditionele phishing scams omdat QR codes complexer zijn en moeilijker te scannen op legitimiteit. Gelukkig kunnen bepaalde maatregelen je veilig houden, zoals QR pre-scanning apps, multi-factor authenticatie en training van werknemers rond social engineering bedreigingen om deze aanvallen te verminderen.

Als u deze maatregelen en praktijken volgt, kunt u de meeste QR phishing-bedreigingen vermijden en uw werknemers en uzelf beschermen tegen geldverlies.

• Over
• Laatste berichten

Ahona Rudra

Expert domein- en e-mailbeveiliging bij PowerDMARC

Ahona is de Marketing Manager bij PowerDMARC, met 5+ jaar ervaring in het schrijven over cybersecurity onderwerpen, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een postdoctorale graad in Journalistiek en Communicatie, en heeft haar carrière in de beveiligingssector sinds 2019 verstevigd.

Nieuwste berichten van Ahona Rudra (zie alle)

• Wat is QR Phishing? Hoe QR Code Scams detecteren en voorkomen - 15 april 2025
• Hoe SPF Records controleren met nslookup, dig of PowerShell? - 3 april 2025
• Outlook dwingt DMARC af: Microsofts nieuwe vereisten voor afzenders uitgelegd! - 3 april 2025