Sådan forhindrer du quishing eller QR-kodesvindel

Kan du blive hacket ved at scanne en QR-kode?

At forstå det fulde trusselsbillede ved QR-koder hjælper dig med at genkende trusler, før du bliver offer. Her er de mest almindelige angrebsmønstre i 2025.

Tricket med falske klistermærker

Den mest udbredte fysiske metode involverer falske QR-kode-klistermærker, der placeres direkte over legitime koder – på parkometer, restaurantborde, trafikskilte eller butiksudstillinger. Du tror, du åbner et link til kortet eller betaler ved en betalingsterminal. I virkeligheden sendes dine kortoplysninger direkte til en svindlers falske portal. En hurtig fysisk inspektion – hvor du tjekker, om koden sidder fladt eller ser ud som om den er lagt i lag – kan redde dig helt fra denne.

Quishing via e-mail og Office-værktøjer

Da folk typisk scanner QR-koder med deres telefoner, omgår de indlejrede URL'er sikkerhedsværktøjer på computeren, såsom firewalls og URL-blokkere. Dette gør hacking via e-mail særligt effektivt. Beskeden ser ud som om den kommer fra Microsoft, din bank eller din virksomheds IT-afdeling – komplet med logoer og professionel formatering.

Hele 27 % af disse quishing-angreb bruger falske advarsler om multifaktor-autentificering: "Din session er udløbet – scan for at bekræfte igen." Den presserende tone er designet til at forhindre dig i at tænke dig om en ekstra gang.

QR-koder skjult i dokumenter og fysisk post

Dette er en af de mere oversete farer ved at scanne QR-koder: Alene i midten af 2024 blev der opdaget en halv million phishing-e-mails med QR-koder indlejret i PDF-vedhæftninger. Dokumentet ser legitimt ud – en faktura, en oversigt over ydelser, en leveringsmeddelelse – og QR-koden indeni fremstår som en praktisk genvej. FTC har også påpeget en stigning i svindel via fysisk post, hvor links til malware via QR-koder ankommer trykt på falske pakkesedler eller regninger for forsyningsselskaber.

AI-drevne quishing-kampagner

Den nyeste og mest bekymrende udvikling inden for quishing-cybersikkerhedstrusler involverer AI-genererede phishing-sider, der næsten ikke kan skelnes fra de ægte. Angribere kan nu på få minutter oprette en overbevisende falsk reservations- eller PayPal-login-side, der er skræddersyet til et specifikt mål, med realistisk branding og personlig tekst. Dette har gjort forebyggelse af QR-kode-svindel betydeligt sværere for både enkeltpersoner og organisationer.

Men truslen rækker langt ud over falske login-sider. AI bruges nu i alle faser af angrebsforløbet – fra valg af mål til levering til unddragelse.

• Hyperpersonlig lokkemad. Traditionel phishing var afhængig af generisk lokkemad – "din konto er blevet suspenderet." AI-drevne kampagner trækker på offentligt tilgængelige data: din arbejdsgiver, din by, dine seneste køb. Resultatet er et QR-kodesvindelforsøg, der føles som om det er skrevet specifikt til dig, for i en vis forstand er det det. En falsk faktura fra en leverandør, du genkender. En "manglende levering"-seddel, der matcher din faktiske adresse. Det er netop denne grad af specificitet, der gør moderne quishing-phishing så svært at afvise ved første øjekast.
• Støtte fra stemmer og deepfakes. I angreb med højere værdi – typisk rettet mod medarbejdere i økonomi- eller HR-afdelinger – går AI-genererede telefonopkald eller deepfake videobeskeder nu forud for den ondsindede QR-kode. Opkaldet skaber tillid ("Hej, det er IT-support – du modtager en bekræftelseskode om kort tid"), og QR-koden ankommer få øjeblikke senere via e-mail eller SMS. Når målet scanner den, er de allerede forberedt på at adlyde.
• Automatiseret infrastruktur i stor skala. Det, der engang krævede teknisk ekspertise at opsætte – falske domæner, SSL-certifikater, lookalike-websteder – kan nu genereres og skiftes automatisk. Angribere implementerer hundredvis af kortvarige phishing-sider samtidigt og skifter hurtigt nok mellem domæner til at være et skridt foran blokeringslisterne. Det er derfor, traditionelle URL-baserede sikkerhedsværktøjer har svært ved at følge med: Når et domæne bliver markeret, er det allerede blevet erstattet.
• Unddragelse indbygget i designet. AI-modeller, der er trænet i sikkerhedsdetekteringsmønstre, kan nu generere QR-koder og landingssider, der er specifikt designet til at undgå at udløse filtre. De efterligner den visuelle struktur på legitime sider med høj nøjagtighed – korrekte skriftstørrelser, autentisk udseende formularfelter, realistiske fejlmeddelelser, når der indtastes forkerte loginoplysninger (et klassisk trick til at indsamle flere adgangskodeforsøg).

Den praktiske implikation er ligetil: de visuelle og kontekstuelle signaler, der engang hjalp folk med at identificere et fupnummer, er ved at blive upålidelige. Skepsis over for kilden – ikke kun udseendet – er nu det vigtigere filter.