--- id: "phishing-003" title: "Quishing: Hvordan QR-kode-phishing omgår virksomhetens e-postsikkerhet" description: "Lær hvordan quishing omgår e-postfiltre ved å flytte angrepet til ansattes private mobiler, og hvordan dere sikrer norske virksomheter effektivt." canonical: https://startbrain.io/no/cybersikkerhet/quishing-qr-kode-phishing-sikkerhet-norge/ slug: "quishing-qr-kode-phishing-sikkerhet-norge" date: "2026-10-03" category: "phishing" product: "superphisher" lang: no author: "Brain Security · FoU Cyber & Den Menneskelige Faktoren" frameworks: "NSM · Digitalsikkerhetsloven (NIS 2) · Normen · DORA · ISO 27001" --- # Quishing (QR-kode-phishing): Trusselen som omgår virksomhetens e-postfiltre Se for deg følgende scenario: Virksomheten har implementert markedets strengeste e-postsikkerhet (SEG), moderne EDR-agenter på alle klienter og obligatorisk tofaktorautentisering (MFA). Likevel, en mandag morgen, blir påloggingsinformasjonen til en økonomikonsulent kompromittert uten at et eneste teknisk varsel utløses i sikkerhetssenteret (SOC). Angrepsvektoren var verken et skadelig vedlegg eller en mistenkelig hyperlenke i selve brødteksten. Det var en enkel svart-hvitt grafisk rute innebygd i en tilsynelatende ufarlig PDF, med en oppfordring om å fornye en sikker pålogging. Quishing, en sammentrekning av QR-kode og phishing, utgjør i dag et betydelig operasjonelt problem for IT-sikkerhetsledere (CISO) og driftsmiljøer. Ved å lure offeret til å skanne en grafisk kode med sin personlige smarttelefon, bryter angriperen gjennom forsvarsmuren bygget av IT-avdelingen og flytter interaksjonen fullstendig ut av bedriftens kontrollerte klientsone. --- ## Hva er quishing og hvorfor svikter tradisjonelle e-postfiltre? > **Kort oppsummert: Quishing utnytter QR-koder for å skjule skadelige nettadresser inne i bildefiler. Tradisjonelle Secure Email Gateways analyserer primært råtekst og HTML-lenker, noe som lar koden passere uoppdaget rett inn i innboksen til brukeren.** Ved et konvensjonelt phishing-angrep vil en sikker e-posttjeneste inspisere hyperlenker i meldingen, sjekke domeneomdømme mot trusseletterretning (Threat Intelligence) og kjøre mistenkelige vedlegg i en isolert sandkasse. Med quishing forblir fellen usynlig for disse førstelinjemekanismene. Den ondsinnede nettadressen finnes ikke som en lesbar tekststreng i e-posten: den er kodet grafisk som en todimensjonal pikselmatrise, ofte bakt inn i et PNG-bilde eller integrert i et PDF-dokument. For å avskjære denne trusselen må sikkerhetssystemene kjøre optisk tegngjenkjenning (OCR) eller bildeanalyse i sanntid for å dekode mønsteret og trekke ut URL-en. Slik dyp inspeksjon krever enorme beregningsressurser og skaper forsinkelser i e-postflyten som mange enterprise-miljøer ikke kan tolerere i stor skala. I tillegg tilpasser trusselaktørene seg kontinuerlig. De endrer kontrasten marginalt, legger inn selskapslogoer i midten av QR-koden eller benytter betingede omdirigeringer som kun aktiveres dersom forespørselen kommer fra en mobil nettleser. E-postfilteret ser ingenting unormalt og slipper meldingen rett igjennom. --- ## Fellen ved krysskanal-angrep: Fra sikret PC til ubeskyttet mobil > **Kort oppsummert: Ved å tvinge frem bruk av mobilkameraet omgår angriperen arbeidsstasjonens EDR og utnytter et privat miljø uten bedriftens DNS-filtrering og nettverkskontroller.** Den største faren med quishing ligger i overgangen mellom enheter, et såkalt cross-device-angrep. Mens medarbeideren leser e-posten på en PC sikret med strenge sikkerhetspolicyer i tråd med NSMs grunnprinsipper for IKT-sikkerhet, ber meldingen eksplisitt om at smarttelefonen må benyttes for å fullføre handlingen: synkronisere en autentiseringsapp, oppdatere passordet eller bekrefte en intern HR-oppgave. I det øyeblikket den ansatte retter kameraet på sin private mobil (BYOD) mot PC-skjermen: - **Forsvinner EDR-beskyttelsen:** Den private telefonen har som regel verken bedriftens telemetri eller sentralt administrert endepunktbeskyttelse. - **Kortsluttes nettverkskontrollen:** Tilkoblingen rutes over mobiloperatørens 4G- eller 5G-nettverk, fullstendig utenom bedriftens proxy, brannmur og DNS-sikkerhetsfiltre. - **Skjuler mobilgrensesnittet faresignalene:** Nettlesere på mobil forkorter ofte adressefeltet for å spare plass, noe som gjør falske domener og typosquatting tilnærmet umulig å oppdage med det blotte øye. Denne angrepsflaten stopper heller ikke ved innboksen. Trusselaktører utnytter i økende grad fysiske lokasjoner. Vi observerer skadelige QR-koder klistret over legitime koder på elbilladere utenfor kontorbygg, på falske fysiske brev angivelig sendt fra lønnsavdelingen, eller på oppslag i fellesarealer og kantiner som inviterer til nye velferdsportaler. Både under Digitalsikkerhetsloven (NIS 2) og DORA-forordningen stilles det strenge krav til å håndtere slike operasjonelle sårbarheter som rammer på tvers av fysiske og digitale flater. --- ## Hvordan beskytte virksomheten effektivt mot QR-kode-angrep? Når en trussel omgår de tekniske barrierene så elegant, må hovedforsvaret forankres i menneskelig årvåkenhet og etablerte sikkerhetsrutiner. Dere kan ikke fysisk nekte ansatte å ta opp mobilen, men dere kan trene dem til å stoppe opp og tenke seg om før de skanner. For å bygge et robust forsvar mot quishing bør ledergruppen og IT-sikkerhetsavdelingen iverksette følgende tiltak: - **Etablere klare retningslinjer for internkommunikasjon:** Definer tydelig i sikkerhetsinstruksen at interne funksjoner (IT-drift, HR, økonomi) aldri vil be ansatte om å skanne en QR-kode for å nullstille passord eller rekonfigurere tofaktorautentisering (MFA). - **Implementere mobil sikkerhet:** For virksomhetseide enheter bør det rulles ut MDM/MAM-løsninger som inkluderer URL-inspeksjon direkte når lenker åpnes fra kameraet eller tredjepartsapper. - **Trening gjennom realistisk simulering:** Teoretiske e-læringskurs fungerer dårlig mot målrettet sosial manipulering. For å etablere varig atferdsendring må de ansatte erfare teknikken i praksis. Med [Super Phisher](/en-us/catalog/super-phisher/) kan dere inkludere troverdige quishing-scenarier i treningskampanjene, slik at teamene lærer å identifisere faresignalene før koden skannes. - **Sikre en lavterskel rapporteringskanal:** Gi alle ansatte en enkel og intuitiv metode for å rapportere mistenkelige e-poster, QR-koder eller fysiske oppslag, med en kultur der årvåkenhet heies frem uten frykt for å melde feil. Moderne cybersikkerhet handler ikke om å forby nyttige verktøy, men om å gi hver enkelt medarbeider den nødvendige vurderingsevnen slik at de ikke blir en utilsiktet inngangsport for et alvorlig sikkerhetsbrudd. Ønsker dere å kartlegge virksomhetens motstandsdyktighet mot nye metoder innen sosial manipulering? [Ta kontakt med oss for en gjennomgang](/en-us/book-a-demo/) for å skreddersy en holdningsskapende sikkerhetsstrategi tilpasset deres risikobilde. ### Executive Synthesis of Guide Pillars: Quishing: Hvordan QR-kode-phishing omgår virksomhetens e-postsikkerhet | Strategic Dimension | Detailed CISO Recommendation | | --- | --- | | **Forsvinner EDR-beskyttelsen** | Den private telefonen har som regel verken bedriftens telemetri eller sentralt administrert endepunktbeskyttelse. (Fellen ved krysskanal-angrep: Fra sikret PC til ubeskyttet mobil) | | **Etablere klare retningslinjer for…** | Definer tydelig i sikkerhetsinstruksen at interne funksjoner (IT-drift, HR, økonomi) aldri vil be ansatte om å skanne en QR-kode for å nullstille… (Hvordan beskytte virksomheten effektivt mot QR-kode-angrep?) | | **Kortsluttes nettverkskontrollen** | Tilkoblingen rutes over mobiloperatørens 4G- eller 5G-nettverk, fullstendig utenom bedriftens proxy, brannmur og DNS-sikkerhetsfiltre. (Fellen ved krysskanal-angrep: Fra sikret PC til ubeskyttet mobil) | | **Implementere mobil sikkerhet** | For virksomhetseide enheter bør det rulles ut MDM/MAM-løsninger som inkluderer URL-inspeksjon direkte når lenker åpnes fra kameraet eller… (Hvordan beskytte virksomheten effektivt mot QR-kode-angrep?) | --- ## Les videre: relaterte artikler og løsninger fra Brain Security ### Relaterte artikler om dette temaet - **[Direktørsvindel 2.0: Når stemmekloning og deepfake lurer økonomiavdelingen](/no/cybersikkerhet/direktorsvindel-deepfake-vishing-stemmekloning-sikkerhet/)** (Phishing & Social Engineering) : Beskytt økonomiavdelingen mot direktørsvindel via deepfake lyd og vishing. Rutiner, tiltak og praktisk trening for norske ledere og CISO. - **[MFA Fatigue og Push Bombing : Slik omgås tofaktorautentisering uten hacking](/no/cybersikkerhet/mfa-fatigue-push-bombing-sikkerhet-ciso/)** (Phishing & Social Engineering) : Lær hvordan MFA fatigue og push bombing omgår totrinnsverifisering. Styrk virksomhetens beredskap og tren ansatte mot moderne sosial manipulering. - **[Vishing: Slik manipulerer trusselaktorer ansatte og IT-helpdesk via telefon](/no/cybersikkerhet/vishing-sosial-manipulering-it-helpdesk-mfa/)** (Phishing & Social Engineering) : Lær hvordan vishing rammer IT-support og omgår MFA. Beskytt virksomheten mot sosial manipulering i tråd med NSMs grunnprinsipper. - **[PCI DSS v4.0 Krav 12.6 : Styrk opplæring mot phishing og sosial manipulering](/no/cybersikkerhet/pci-dss-v4-krav-12-6-phishing-opplaering/)** (Compliance (NIS 2, DORA, ISO)) : Oppdag kravene i PCI DSS v4.0 (12.6) for sikkerhetskultur, phishing og sosial manipulering. Konkrete råd for CISO og IT-sikkerhetsledere. ### Utforsk Brain Securitys løsninger på nettstedet vårt - **Tilknyttet løsning : [Super Phisher](/en-us/catalog/super-phisher/)** : Realistiske phishingsimuleringer (Super Phisher): tren ansatte i å avsløre og rapportere sosial manipulasjon. - **[Se bruksområder etter mål og bransje](/en-us/use-cases/)** - **[Sammenlign våre formater for cyber- og AI-bevissthet](/en-us/compare/)** - **[Utforsk hele den interaktive katalogen fra Brain Security](/en-us/catalog/)** - **[Snakk med teamet vårt om deres behov (demo og oppsett)](/en-us/book-a-demo/)** --- - https://startbrain.io/no/cybersikkerhet/quishing-qr-kode-phishing-sikkerhet-norge/ - [Français](https://startbrain.io/fr/cybersecurite/quishing-phishing-qr-code-entreprise/) - [Deutsch](https://startbrain.io/de/cybersecurity/quishing-qr-code-phishing-unternehmenssicherheit-verhindern/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/quishing-qr-code-phishing-corporate-security/) - [English (US)](https://startbrain.io/en-us/cybersecurity/quishing-qr-code-phishing-corporate-defenses/) - [Español](https://startbrain.io/es/cyberseguridad/quishing-phishing-codigo-qr-seguridad-empresa/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/quishing-phishing-qr-code-sicurezza-aziendale/) - [Nederlands](https://startbrain.io/nl/cybersecurity/quishing-qr-code-phishing-bedrijfsbeveiliging-omzeilen/) - [Português](https://startbrain.io/pt/ciberseguranca/quishing-como-phishing-qr-code-contorna-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/quishing-qr-code-phishing-ciso-defense/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/quishing-phishing-kod-qr-bezpieczenstwo-firmy/) - [Svenska](https://startbrain.io/sv/cybersakerhet/quishing-qr-kod-phishing-it-sakerhet/) - [Dansk](https://startbrain.io/da/cybersikkerhed/quishing-qr-kode-phishing-it-sikkerhed/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/quishing-qr-koodi-tietojenkalastelu-tietoturva/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/quishing-qr-code-phishing-enterprise-defence/) - [llms.txt](https://startbrain.io/llms.txt)