Waarom glippen valse QR-codes door de spamfilter?

Quishing in het kort

‘Quishing’ is een samentrekking van ‘QR-code’ en ‘phishing’. Het principe blijft hetzelfde: u naar een valse pagina lokken om een wachtwoord of bankgegevens te stelen, of om u een kwaadaardige app te laten installeren. Het enige verschil: de valse link zit verstopt in een QR-code.

Het Centrum voor Cybersecurity België (CCB) stelde vast dat 2023 het jaar van de doorbraak van deze techniek was: ze dook op in 2022 en is intussen ‘geen uitzondering meer’. Het CCB wijst op de kern van het probleem: wie een QR-code scant, ziet niet meteen naar welke site die leidt.

Waarom de spamfilter hem doorlaat

Een spamfilter leest eerst de links en de tekst van een mail. Een QR-code is een afbeelding. Microsoft legt het uit in een blogbericht van zijn Defender for Office 365-team: tijdens de verzending van de mail ‘verschijnt’ de QR-code ‘als een afbeelding’, en zolang hij niet gedecodeerd is, valt hij niet te lezen.

Microsoft geeft twee redenen waarom deze aanvallen werken, en ziet nog andere trucs in de valse mails:

• De aanval verhuist naar een ander toestel. U scant met uw gsm, vaak een privétoestel, zonder de beveiliging van de kantoorcomputer.
• Het kleine scherm verbergt de signalen. Op een telefoon is het adres van de site kort en afgekapt, en de waarschuwingssignalen vallen nauwelijks op.
• Weinig of geen tekst. Hoe minder woorden, hoe minder aanwijzingen de filter heeft om het bericht te beoordelen.
• De QR-code zit ergens anders verstopt: in een grotere afbeelding, of in een pdf-bijlage in plaats van in de mail zelf.

De filters hebben zich aangepast. Eind 2023 voegde Microsoft het lezen van QR-codes toe aan de beveiliging van zijn maildienst en meldde het zo’n 1,5 miljoen quishingmails per dag te blokkeren. Maar geen enkele filter is perfect, en een QR-code op een laadpaal of op een papieren brief passeert geen enkele filter.

De meest voorkomende valstrikken

Over de valse terugbetaling van de FOD Financiën verscheen in juli 2026 een waarschuwing van Safeonweb. Dat geldt voor alle overheidsdiensten: ze vragen u nooit een QR-code te scannen om uw bankgegevens te bevestigen. Safeonweb waarschuwde ook voor valse QR-codes op laadpalen.

Een typisch scenario

Voorbeeld, verzonnen ter illustratie. Op een dinsdagochtend krijgt de secretaresse van een praktijk een mail in de huisstijl van Microsoft: ‘Uw mailbox wordt vandaag gedeactiveerd. Scan deze code om toegang te houden.’ De mail bevat bijna geen tekst en geen enkele link: alleen een logo en een QR-code. De filter houdt hem niet tegen.

Ze neemt haar gsm, scant, komt op een perfect nagemaakte aanmeldpagina van Microsoft en typt haar wachtwoord in. Op het kleine scherm ziet ze niet dat het adres niets met Microsoft te maken heeft. De beveiligde kantoorcomputer heeft de pagina nooit gezien.

Wat haar had tegengehouden: één regel, die het hele team kent. Een QR-code die vraagt om aan te melden op een werkaccount? Altijd nee.

Wat u het team zegt

Een opleiding van twee uur is niet nodig. Deze vijf zinnen, herhaald op een teamvergadering en opgehangen bij de computers, dekken het belangrijkste. Ze volgen het advies van Safeonweb over quishing.

1. Een QR-code in een mail is een onbekende link. Dezelfde voorzichtigheid, dezelfde reflex: van wie komt dit bericht, verwachtte ik het?
2. Nooit uw werkwachtwoord na een scan. De IT-dienst, Microsoft of de bank vragen u niet om aan te melden via een QR-code.
3. Lees het adres voor u opent. Na de scan toont de telefoon het adres van de site: neem de tijd om het te lezen. Komt het niet exact overeen met de verwachte site, dan opent u het niet.
4. Bij twijfel: vragen. Even bellen naar de collega of de IT-partner, op een gekend nummer, nooit het nummer uit het bericht.
5. Melden, ook als u al geklikt hebt. Hoe sneller we het weten, hoe sneller we ingrijpen. Niemand krijgt een uitbrander omdat hij het meldt.

Maandagochtend: vier concrete stappen

1. Duid één persoon aan die verwittigd moet worden bij een verdacht bericht, met zijn of haar nummer, en laat het iedereen weten.
2. Toon hoe u meldt: de knop ‘Melden’ van uw mailprogramma als die er is, en het doorsturen van de mail naar [email protected]. Het CCB haalt ook de adressen uit QR-codes en schermafbeeldingen: wordt een site als kwaadaardig herkend, dan worden internetgebruikers die erop terechtkomen omgeleid naar een waarschuwingspagina.
3. Controleer uw eigen QR-codes: de affiche om een afspraak te maken in de wachtzaal, de betaal-QR-code op de facturen, de link naar uw online beoordelingen. Een sticker eroverheen? Dat is precies de techniek van de laadpalen.
4. Beveilig de accounts: tweestapsverificatie op alle werkaccounts, telefoons die up-to-date zijn, en apps die alleen uit de officiële winkels komen (Google Play, App Store).

Wie verder wil gaan: Microsoft raadt aan om op grote schaal aanmeldmethoden in te voeren die bestand zijn tegen phishing, zoals beveiligingssleutels of passkeys (toegangssleutels), die een valse pagina niet kan hergebruiken. Microsoft adviseert te beginnen met de beheerdersaccounts en met wie toegang heeft tot gevoelige gegevens: directie, boekhouding, patiëntendossiers.

Iemand heeft gescand en iets ingetypt: wat binnen het uur te doen

Geen paniek, maar ook niet wachten. Wat u doet, hangt af van wat er werd ingegeven.

Voor een Microsoft 365-account volstaat het niet om het wachtwoord te wijzigen. De handleiding van Microsoft over gecompromitteerde accounts vraagt ook om de al geopende sessies af te sluiten, de tweestapsverificatiemethoden te verwijderen die de aanvaller heeft toegevoegd en de regels na te kijken die mails naar buiten doorsturen. Dat is werk voor uw beheerder of uw IT-partner, en het is dringend.

Werd er geld gestolen, dan raadt Safeonweb aan om aangifte te doen bij de politie, online of op het commissariaat. En kon de aanvaller persoonsgegevens inkijken (patiëntendossiers, klantenbestand), dan verplicht de AVG u om het datalek te melden bij de GBA, zonder onredelijke vertraging en indien mogelijk binnen 72 uur, tenzij het lek geen risico inhoudt voor de betrokkenen.

Zorgpraktijken: een apart geval

In een zorgpraktijk ontvangt de mailbox van het onthaal resultaten, brieven van collega’s en vragen van patiënten. Een gestolen wachtwoord geeft toegang tot dat alles. De eerste twee regels van de tabel pakt u dus dezelfde dag nog aan, en bijna altijd moet u nagaan of het lek bij de GBA gemeld moet worden: bespreek dat best meteen met uw IT-partner.

Alles in verhouding

Quishing blijft een variant van klassieke phishing, geen nieuw soort dreiging. Dezelfde reflexen beschermen u: wantrouw haast, controleer het adres, geef uw wachtwoord nooit aan een pagina die onverwacht opduikt. Het enige nieuwe om te onthouden: de link kan voortaan in een afbeelding verstopt zitten, en de filter beschermt u daar niet altijd tegen.

Uw mails beter beveiligen→