QR-Code Oplichting: Zo Bescherm Je Jezelf Tegen Quishing (2026)

QR-code oplichting, ook wel quishing genoemd, is een van de snelst groeiende vormen van digitale fraude in Nederland. Van parkeerautomaten tot restaurantmenu's: criminelen plakken valse QR-codes over echte heen om nietsvermoedende gebruikers naar frauduleuze websites te leiden. In deze gids leer je hoe deze oplichting werkt, hoe je het herkent en vooral: hoe je jezelf effectief beschermt.

Wat is QR-code oplichting (quishing)?

QR-code oplichting is een vorm van phishing waarbij criminelen kwaadaardige QR-codes gebruiken om slachtoffers naar nepwebsites te leiden, malware te installeren of betaalgegevens te stelen. De term "quishing" is een samentrekking van QR en phishing.

Omdat een QR-code voor het menselijk oog slechts een vierkantje met zwart-witte blokjes is, kun je niet zien waar hij naartoe leidt totdat je hem scant. Dit maakt het een ideaal wapen voor oplichters. Volgens de Fraudehelpdesk nam het aantal meldingen van QR-code fraude in 2024 met meer dan 400% toe ten opzichte van het jaar ervoor.

Waarom werkt quishing zo goed?

Vertrouwen in technologie: veel mensen scannen QR-codes zonder nadenken.
Onzichtbare bestemming: de URL is pas zichtbaar na het scannen, en dan vaak nog verkort.
Mobiele context: op een telefoon zijn verdachte URL's moeilijker te herkennen.
Omzeilen van e-mailfilters: QR-codes in e-mails worden niet gescand door traditionele spamfilters.
Fysieke aanwezigheid: een sticker op een parkeerautomaat voelt legitiem.

De meest voorkomende vormen van QR-code oplichting

1. Parkeerautomaten

Dit is in Nederland de meest gemelde vorm. Oplichters plakken nepstickers over de echte QR-codes op parkeermeters, vooral in grote steden als Amsterdam, Rotterdam en Utrecht. Scan je deze, dan kom je op een valse betaalpagina die eruitziet als die van je parkeerprovider. Je betaalt niet alleen de "parkeerkosten", maar geeft ook je bankgegevens weg.

2. Restaurant- en terrasmenu's

Sinds de pandemie zijn digitale menu's via QR-codes gemeengoed. Criminelen misbruiken dit door valse menucodes aan te brengen, die leiden naar phishingpagina's die om inlog- of betaalgegevens vragen.

3. Phishing-e-mails met QR-codes

Een opkomende techniek: de phishingmail bevat geen link maar een QR-code. Je wordt gevraagd die met je telefoon te scannen "voor extra beveiliging". Omdat je telefoon vaak minder beveiligingssoftware heeft dan je werkcomputer, zijn aanvallers succesvoller. Dit heet soms ook wel mobile-first phishing.

4. Nepboetes en "gemiste pakketten"

Fysieke flyers in de brievenbus met zogenaamde boetes van de gemeente of mededelingen van PostNL. Scan de QR-code om "meer informatie" te krijgen, en je komt op een frauduleuze betaalpagina.

5. Crypto-oplichting

QR-codes die zogenaamd leiden naar "gratis crypto" of een airdrop. In werkelijkheid vraagt de site om je wallet te verbinden, waarna oplichters je volledige saldo kunnen leegtrekken.

6. Openbare laadstations en openbare WiFi

QR-codes die beweren toegang te geven tot gratis WiFi of informatie over een laadstation, maar in plaats daarvan een kwaadaardig profiel op je telefoon installeren.

Hoe herken je een frauduleuze QR-code?

Fysieke tekenen

Sticker over een sticker: voel met je vinger of er een extra laag op zit.
Scheve plaatsing: officiele codes zijn meestal recht en netjes aangebracht.
Ander lettertype of logo: vergelijk met andere automaten in de buurt.
Geen officieel logo: echte parkeerproviders tonen vaak hun logo naast de code.
Beschadigde of overgeplakte originele code: duidelijk teken van manipulatie.

Digitale rode vlaggen na het scannen

De URL ziet er vreemd uit of bevat spelfouten (bijv. parkereen.nl in plaats van parkeren.nl).
Je wordt direct gevraagd om bankgegevens of een inlog.
De pagina heeft geen HTTPS (geen slotje in de adresbalk).
De pagina laadt via meerdere redirects.
Er wordt gevraagd om een app te installeren buiten de officiele appstores om.

10 praktische beschermingsmaatregelen

Gebruik een preview-functie. Moderne iPhones (iOS) en Android-telefoons tonen de URL voor je deze opent. Lees deze altijd eerst.
Vertrouw geen QR-codes in e-mails van banken, overheid of pakketdiensten. Ga rechtstreeks naar de officiele website.
Betaal parkeren via een officiele app zoals Parkmobile, Yellowbrick of EasyPark - niet via een QR-code op de automaat.
Controleer stickers fysiek door erover te wrijven. Zit er iets overheen? Niet scannen.
Gebruik een scanner met beveiligingscontrole. Veel beveiligingssuites bieden een QR-scanner die URL's checkt tegen bekende phishingdatabases.
Schakel app-installatie uit onbekende bronnen uit op Android. Dit voorkomt dat je per ongeluk malware installeert.
Gebruik een wachtwoordmanager. Deze vult alleen automatisch in op de echte site, wat een extra laag bescherming biedt tegen nep-inlogpagina's. Zie onze vergelijking van wachtwoordmanagers.
Schakel tweefactorauthenticatie in op al je belangrijke accounts.
Controleer verkorte URL's. Legitieme URL-verkorters zoals Lunyb bieden preview-functies waarmee je kunt zien waar een link naartoe leidt voor je hem opent.
Houd je telefoon up-to-date. Veel aanvallen misbruiken oude kwetsbaarheden in besturingssystemen.

Vergelijking: veilige vs. onveilige QR-situaties

Situatie	Risico	Aanbevolen actie
QR-code op parkeerautomaat	Hoog	Niet scannen, officiele app gebruiken
QR-code in e-mail van "bank"	Zeer hoog	Negeren, bank rechtstreeks bellen
QR-code op restaurantmenu	Middel	Vraag personeel of URL klopt
QR-code op officiele overheidsbrief	Laag-Middel	URL preview bekijken, afzender verifieren
QR-code op productverpakking	Laag	Preview bekijken voor openen
QR-code op flyer in brievenbus	Hoog	Zeer kritisch zijn, afzender googelen

Wat te doen als je slachtoffer bent geworden?

Direct na het incident

Verbreek de verbinding: sluit de pagina direct en zet eventueel vliegtuigmodus aan.
Bel je bank: gebruik het nummer op de achterkant van je pas, niet een nummer van de website die je zojuist hebt bezocht. Vraag om onmiddellijke blokkade.
Verander je wachtwoorden: begin met je bank, e-mail en belangrijke accounts.
Scan je telefoon met een beveiligingsapp op malware.
Verwijder recent geinstalleerde apps die je mogelijk ongewenst hebt geinstalleerd.

Melden en aangifte

Fraudehelpdesk: meld via fraudehelpdesk.nl of bel 088 - 786 73 72.
Politie: doe aangifte via politie.nl of op het bureau. Dit is nodig voor eventuele schadevergoeding.
Autoriteit Persoonsgegevens (AP): als er persoonsgegevens zijn gelekt, kun je dit melden. Lees meer in onze gids over de AVG uitgelegd in gewone taal.
Je bank: onder bepaalde voorwaarden ben je verzekerd tegen phishingschade, maar meld snel.

QR-codes veilig gebruiken: best practices

Voor particulieren

Scan QR-codes alleen als je een duidelijke reden hebt. Gebruik de ingebouwde camera-app van je telefoon in plaats van een derde-partij scanner-app, want deze tonen de URL voor je deze bezoekt. Overweeg om in je browser de instelling "wees altijd gewaarschuwd voor onveilige sites" aan te zetten.

Voor bedrijven en organisaties

Bedrijven die QR-codes gebruiken voor marketing of klantenservice hebben een verantwoordelijkheid om deze te beveiligen:

Gebruik een betrouwbare URL-verkorter met statistieken en bewerkingsmogelijkheden, zoals Lunyb, zodat je kunt reageren als een code wordt gekaapt.
Lamineer QR-codes of plaats ze achter plexiglas om vervanging te voorkomen.
Train personeel om regelmatig fysieke controle te doen op QR-codes in de winkel of op straat.
Communiceer de officiele URL altijd ook in tekst, zodat klanten kunnen verifieren.
Gebruik HTTPS met een EV-certificaat op bestemmingspagina's.

Een goede URL-verkorter helpt niet alleen bij veiligheid maar ook bij analyse. Zie onze vergelijking van URL-verkorters voor meer informatie.

De rol van encryptie en veilige verbindingen

Zelfs als je een legitieme QR-code scant, is het belangrijk dat de verbinding die daarop volgt beveiligd is. Zoek altijd naar HTTPS en vermijd het invoeren van gevoelige gegevens op pagina's zonder end-to-end bescherming. Lees meer over hoe moderne versleuteling werkt in ons artikel over end-to-end encryptie.

Juridische aspecten in Nederland en Belgie

QR-code oplichting valt onder oplichting (artikel 326 Wetboek van Strafrecht in Nederland) en computervredebreuk (artikel 138ab Sr). Daarnaast is sprake van schending van de AVG als er persoonsgegevens worden gestolen.

In Belgie kun je bij een datalek contact opnemen met de Gegevensbeschermingsautoriteit. Lees onze gids over een klacht indienen bij de GBA.

FAQ: Veelgestelde vragen over QR-code oplichting

Kan ik gehackt worden door alleen een QR-code te scannen?

Alleen scannen is meestal niet voldoende om direct gehackt te worden. Het probleem begint als je op de daaropvolgende pagina gegevens invoert, een app downloadt of op links klikt. Toch kunnen sommige kwaadaardige QR-codes misbruik maken van kwetsbaarheden in je besturingssysteem, dus houd je telefoon altijd up-to-date.

Zijn iPhones veiliger dan Androids tegen quishing?

Beide platformen hebben URL-previews en basisbeveiliging. iPhones hebben een iets gesloten systeem waardoor malware-installatie moeilijker is, maar phishingpagina's werken op beide hetzelfde. Jouw gedrag is belangrijker dan het platform.

Krijg ik mijn geld terug van de bank als ik slachtoffer ben?

Nederlandse banken vergoeden vaak schade door phishing, mits je niet "grof nalatig" hebt gehandeld. Het invoeren van je volledige inlogcodes op een nepsite kan onder bepaalde omstandigheden als nalatig worden gezien. Meld snel en verleen volledige medewerking aan het onderzoek.

Hoe weet ik of een verkorte URL (bit.ly, etc.) veilig is?

Gebruik een URL-expander of preview-tool. Veel betrouwbare URL-verkorters bieden een preview-functie door "+" achter de URL te zetten (bijv. bit.ly/voorbeeld+). Lunyb en andere kwaliteitsverkorters tonen de bestemming voor doorverwijzing bij verdachte links.

Moet ik een aparte QR-scanner-app downloaden?

Nee, de ingebouwde camera-app van je telefoon is veilig en toont URL-previews. Vermijd derde-partij QR-scanners uit onbekende bronnen, want sommige daarvan verzamelen zelf je gegevens of leiden je door kwaadaardige redirects.

Zijn QR-codes op officiele brieven van de overheid veilig?

Over het algemeen wel, maar wees kritisch. Oplichters sturen ook valse brieven die eruitzien als officiele post. Controleer altijd de URL na het scannen, en ga bij twijfel rechtstreeks naar de officiele website via je browser.

Conclusie

QR-code oplichting is een groeiend probleem, maar met de juiste kennis en gewoontes is het goed te voorkomen. Scan niet klakkeloos, controleer altijd de URL-preview, gebruik officiele apps voor betalingen en wees extra kritisch bij QR-codes in e-mails of op openbare plaatsen. Combineer dit met sterke wachtwoorden, tweefactorauthenticatie en up-to-date apparaten, en je bent al veel veiliger dan de gemiddelde gebruiker.

Blijf alert: criminelen innoveren voortdurend, en wat vandaag veilig lijkt, kan morgen een nieuwe aanvalsroute zijn.