--- id: CP-006 slug: quishing-qr-code-valkuil lang: nl title: "Quishing: de valkuil van de QR-code" description: Een valse QR-code verbergt het adres in een afbeelding en leidt naar een nepinlogpagina. Zo herkent u hem en dit doet u vóór het scannen. canonical_url: https://startbrain.io/cyberpedia/nl/articles/quishing-qr-code-valkuil/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/quishing-qr-code-valkuil.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, “Quishing: de valkuil van de QR-code”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/quishing-qr-code-valkuil/ (CC BY 4.0)" wing: 1 theme: detect_phishing reflex: cr-006 schema: G1 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/quishing-qr-code-valkuil/ fr: https://startbrain.io/cyberpedia/fr/articles/quishing-qr-code-pieges/ en: https://startbrain.io/cyberpedia/en/articles/quishing-qr-code-phishing/ de: https://startbrain.io/cyberpedia/de/articles/quishing-qr-code-falle/ es: https://startbrain.io/cyberpedia/es/articles/quishing-codigo-qr-trampa/ it: https://startbrain.io/cyberpedia/it/articles/quishing-codice-qr-trappola/ sources: - "n": 1 title: What Is Quishing (QR Phishing)? Definition | Proofpoint US publisher: Proofpoint url: https://www.proofpoint.com/us/threat-reference/quishing published: "2025-03-31" accessed: "2026-11-03" - "n": 2 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 3 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 4 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 5 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" --- # Quishing: de valkuil van de QR-code Quishing is een phishingaanval (hengelen naar gegevens) via een QR-code. De code is een afbeelding: hij toont het adres dat erin zit niet, en de gebruiker ziet dat adres vooraf niet [1]. Voor een medewerker zit de valkuil in een alledaagse handeling. U scant een code uit een e-mail, op een poster of in een gedeeld document, en komt op een pagina die vraagt om in te loggen of te betalen [1]. ## In 30 seconden - Waar het gebeurt: e-mails, sms'jes, valse facturen, posters, menukaarten, productetiketten, gedeelde pdf's of spreadsheets [1]. - Wat de aanvaller wil: u naar een valse inlogpagina sturen, of u schadelijke software laten downloaden [1]. - De reflex: controleer vóór het scannen van een code via een ander kanaal waar hij vandaan komt, bijvoorbeeld door de afzender te bellen [1]. - Als het al gebeurd is: voer geen inloggegevens of betaalgegevens in zolang de echtheid van de site niet is bevestigd [1]. Meld het bericht en verwijder het daarna zonder te antwoorden [2]. ## Directe vragen ### Wat is quishing? Het is phishing via een QR-code. Proofpoint beschrijft het als een social-engineeringaanval die slachtoffers doorstuurt naar schadelijke sites of het downloaden van malware in gang zet. Anders dan klassieke phishing, die steunt op uitgeschreven links, gebruikt quishing een code in de vorm van een afbeelding [1]. ### Waarom is een QR-code lastiger te beoordelen dan een link? Omdat het adres onzichtbaar is. Proofpoint merkt op dat de gebruiker de URL in de code vooraf niet kan zien, en dat maakt het middel misbruikbaar [1]. ### Waarom zien de filters van het bedrijf het niet altijd? Volgens Proofpoint omzeilt quishing e-mailfilters [1]. Tim Bedard van IBM Expert Labs, geciteerd op dezelfde pagina, legt uit dat beveiligingstools voor e-mail in berichten zoeken naar bekende verdachte links, maar geen afbeeldingen analyseren om verborgen links in een QR-code te vinden [1]. Er bestaan gespecialiseerde oplossingen: ze halen QR-codes uit e-mails en uit bijlagen zoals pdf's, decoderen het adres en beoordelen het risico [1]. ### Geldt dit ook voor mijn privételefoon? Ja. Proofpoint schrijft dat deze tactiek organisaties kwetsbaar maakt via zowel zakelijke als persoonlijke apparaten [1]. De pagina gaat hier niet verder op in. ### Wat doe ik vóór het scannen? Proofpoint raadt aan om de echtheid van een code via een ander kanaal, zoals een telefoontje, bij de afzender te bevestigen voordat u een code scant die u per e-mail, per sms of op een openbare plek hebt gekregen [1]. CISA voegt een algemene regel toe: als een bericht echt zou kunnen zijn, klik dan op geen enkele link en bel geen enkel nummer uit het bericht, maar zoek een andere manier om het bedrijf of de persoon te bereiken [2]. ### Wat doe ik als de code verdacht lijkt? CISA raadt aan het bericht te melden en het daarna te verwijderen zonder te antwoorden [2]. Het Britse NCSC wijst erop dat het melden van een oplichtingsbericht gratis is en een minuut kost, en dat het de bevoegdheid heeft om frauduleuze adressen en sites te onderzoeken om ze te laten verwijderen [3]. Binnen een bedrijf raadt Proofpoint duidelijke meldkanalen aan, zodat medewerkers een verdachte code kunnen melden zonder bang te zijn voor represailles [1]. Het NCSC stelt zelf vast dat medewerkers die voor hun baan vrezen hun fouten niet melden [4]. ## In de huid van de aanvaller Volgens Proofpoint verloopt de methode in vier stappen [1]. - De code maken. Gratis online tools maken QR-codes die verwijzen naar een phishingsite of naar een domein waar malware wordt gehost. - De code verspreiden. De code staat in een phishingmail, op een valse factuur, op een poster, op een restaurantmenu, of is over een echte QR-code heen geplakt. - Aanzetten tot haast. De berichten sporen aan tot onmiddellijk handelen, bijvoorbeeld met "Scan to unlock a discount" of "Verify your account". - De scan uitbuiten. Het slachtoffer komt op een valse inlogpagina, bij een verzamelaar van inloggegevens of bij een download van malware. MITRE ATT&CK rekent phishing tot de technieken voor eerste toegang. Het beschrijft het vervalsen van de identiteit van de afzender, wat zowel de ontvanger als automatische beveiligingstools kan misleiden, en "thread hijacking" (het kapen van een gesprek): de aanvaller voegt het doelwit toe aan een bestaand gesprek waarvan de berichten schadelijke bestanden of links bevatten [5]. De geraadpleegde MITRE-pagina noemt geen QR-codes: deze trucs zijn die van phishing in het algemeen. ## Wat u op het scherm ziet Het typische bericht vraagt een code te scannen, vaak met een dringende reden. Proofpoint noemt "Scan to avoid account suspension" als voorbeeld van een lokmiddel dat op urgentie speelt [1]. De codes komen ook voor als meldingen over "accountverificatie" of als verzendberichten, met een bank, een overheidsdienst of een leverancier als schijnbare afzender [1]. Op openbare plekken noemt Proofpoint restaurantmenu's, parkeermeters, winkelposters en flyers van evenementen, met beloften van korting, wifitoegang of exclusieve inhoud [1]. Binnen het bedrijf kunnen codes zich verstoppen in interne pdf's of spreadsheets die zich voordoen als enquêtes of opleidingsmateriaal [1]. Als de pagina eenmaal open is, somt CISA de klassieke tekenen van phishing op: dringende of emotionele taal, een verzoek om persoonlijke of financiële gegevens, onbetrouwbare verkorte adressen, en foute adressen of links zoals "amazan.com" [2]. Proofpoint noemt zelf "arnazon.com" [1]. CISA benadrukt dat het oude teken van spelfouten niet meer betrouwbaar is: in het tijdperk van kunstmatige intelligentie hebben sommige e-mails een perfecte grammatica [2]. Het NCSC waarschuwt dat geen enkele opleiding het mogelijk maakt alle pogingen te herkennen, en dat het gedetailleerd onderzoeken van elke e-mail te weinig uren zou overlaten voor het eigenlijke werk [4]. ## Onder de motorkap Een QR-code is een door machines leesbare matrix die tot 7.089 numerieke tekens of URL's kan bevatten, en die met de camera van een smartphone of met een leesapp toegankelijk is. Het ontwerp bevat foutcorrectie, waardoor de code ook werkt als hij gedeeltelijk beschadigd is [1]. Aan de verdedigingskant beschrijft Proofpoint meerdere lagen. Analysemotoren gebruiken computervisiemodellen om QR-codes in e-mails te vinden, de adressen te decoderen en het risico ervan te beoordelen. Online sandboxing haalt codes uit bijlagen en simuleert het bezoek aan de adressen in een afgeschermde omgeving vóór de bezorging. Volgens Microsoft, geciteerd door Proofpoint, blokkeerde deze controle vóór bezorging in 2024 ongeveer 1,5 miljoen quishingpogingen per dag [1]. Tegen inloggegevens die op deze valse pagina's worden buitgemaakt, raadt Proofpoint multifactorauthenticatie aan, en de protocollen DMARC, SPF en DKIM tegen vervalste e-mails [1]. Het NCSC legt uit dat DMARC voorkomt dat phishers het domein van een organisatie vervalsen, en dat er meerdere verdedigingslagen nodig zijn in plaats van alleen te vertrouwen op het oog van de gebruikers, omdat sommige aanvallen er altijd doorheen komen [4]. ## Incidentanalyses ### 2023: valse bedrijfsfacturen Proofpoint meldt een aanval uit 2023 die bedrijfsfacturen nabootste. De medewerkers werden naar valse betaalportalen geleid [1]. De pagina noemt noch het getroffen bedrijf, noch de dader van de aanval. ### 2024: bedekte restaurantmenu's Volgens Proofpoint richtte een campagne uit 2024 zich op restaurantketens door schadelijke QR-codes over gedrukte menukaarten te plakken. De klanten werden doorgestuurd naar pagina's die inloggegevens verzamelden en loyaliteitsprogramma's nabootsten [1]. Ook hier geeft de bron geen naam van een keten. Deze twee gevallen komen uit één commerciële bron, die geen aantallen slachtoffers geeft. Het Britse NCSC publiceerde op 8 februari 2024 ook een bericht met de titel "QR Codes - what's the real risk?", waarvan de geraadpleegde pagina alleen de titel en een inleidende zin weergeeft [3]. ## Bronnen 1. Proofpoint, “What Is Quishing (QR Phishing)? Definition | Proofpoint US”, 31 maart 2025. https://www.proofpoint.com/us/threat-reference/quishing (geraadpleegd op 3 november 2026) 2. CISA, “Recognize and Report Phishing | CISA”. https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (geraadpleegd op 3 november 2026) 3. NCSC (Royaume-Uni), “Phishing scams: how to spot and report them”, 26 november 2021. https://www.ncsc.gov.uk/collection/phishing-scams (geraadpleegd op 3 november 2026) 4. NCSC (Royaume-Uni), “Phishing attacks: defending your organisation”, 5 februari 2018. https://www.ncsc.gov.uk/guidance/phishing (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Phishing, Technique T1566 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1566/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/quishing-qr-code-valkuil/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.