Slik forhindrer du quishing eller QR-kodesvindel

Kan du bli hacket ved å skanne en QR-kode?

Å forstå hele trusselbildet rundt QR-koder hjelper deg å gjenkjenne trusler før du blir et offer. Her er de vanligste angrepsmønstrene i 2025.

Trikset med falske klistremerker

Den mest utbredte fysiske metoden innebærer falske QR-kodeklistremerker plassert direkte over legitime koder – på parkeringsautomater, restaurantbord, skilt i kollektivtrafikken eller utstillinger i butikker. Du tror du åpner en kartlenke eller betaler ved en betalingsterminal. I virkeligheten går kortopplysningene dine rett til en svindlers falske portal. En rask fysisk inspeksjon – å sjekke om koden sitter flatt eller ser ut som den er lagt i lag – kan redde deg helt fra dette.

Quishing via e-post og Office-verktøy

Siden folk vanligvis skanner QR-koder med telefonene sine, omgår de innebygde URL-ene sikkerhetsverktøy på datamaskiner som brannmurer og URL-blokkere. Dette gjør QR-kode-hacking via e-post spesielt effektivt. Meldingen ser ut som om den kommer fra Microsoft, banken din eller bedriftens IT-avdeling – komplett med logoer og profesjonell formatering.

Hele 27 % av disse quishing-angrepene bruker falske varsler om multifaktorautentisering: «Sesjonen din har utløpt – skann for å bekrefte på nytt.» Denne følelsen av hastverk er laget for å hindre deg i å tenke deg om to ganger.

QR-koder skjult i dokumenter og fysisk post

Dette er en av de mer oversette farene ved å skanne QR-koder: en halv million phishing-e-poster med QR-koder innebygd i PDF-vedlegg ble oppdaget bare i midten av 2024. Dokumentet ser legitimt ut – en faktura, en oversikt over ytelser, en leveringsmelding – og QR-koden inni ser ut til å være en praktisk snarvei. FTC har også varslet om en økning i svindel via fysisk post, der lenker til skadelig programvare via QR-koder kommer trykt på falske pakkesedler eller strømregninger.

AI-drevne quishing-kampanjer

Den nyeste og mest bekymringsfulle utviklingen av quishing-cybersikkerhetstrusler involverer AI-genererte phishing-sider som er nesten umulige å skille fra ekte sider. Angripere kan nå lage en overbevisende falsk bestillings- eller PayPal-innloggingsside på få minutter, skreddersydd for et bestemt mål, med realistisk merkevarebygging og personlig tilpasset tekst. Dette har gjort det betydelig vanskeligere å forhindre QR-kodesvindel for både enkeltpersoner og organisasjoner.

Men trusselen strekker seg langt utover falske innloggingssider. AI brukes nå i alle ledd av angrepsprosessen – fra valg av mål til levering og unngåelse.

• Hyperpersonlig lokking. Tradisjonell phishing var avhengig av generisk agn – «kontoen din er suspendert». AI-drevne kampanjer henter informasjon fra offentlig tilgjengelige data: arbeidsgiveren din, byen din, dine nylige kjøp. Resultatet er en QR-kodesvindel som føles som om den er skrevet spesielt for deg, fordi den i en viss forstand er det. En falsk faktura fra en leverandør du kjenner igjen. En «manglende levering»-lapp som samsvarer med din faktiske adresse. Det er denne graden av spesifisitet som gjør moderne quishing-phishing så vanskelig å avfeie ved første øyekast.
• Stemme- og deepfake-forsterkning. I angrep med høyere verdi – som vanligvis retter seg mot ansatte i økonomi- eller HR-avdelinger – går AI-genererte telefonsamtaler eller deepfake videomeldinger nå foran den ondsinnede QR-koden. Samtalen skaper tillit («Hei, dette er IT-support – du vil motta en bekreftelseskode om kort tid»), og QR-koden ankommer øyeblikk senere via e-post eller SMS. Når målet skanner den, er de allerede forberedt på å etterkomme kravet.
• Automatisert infrastruktur i stor skala. Det som tidligere krevde teknisk ekspertise å sette opp – falske domener, SSL-sertifikater, liknende nettsteder – kan nå genereres og roteres automatisk. Angripere distribuerer hundrevis av kortvarige phishing-sider samtidig, og skifter mellom domener raskt nok til å ligge foran blokkeringslistene. Dette er grunnen til at tradisjonelle URL-baserte sikkerhetsverktøy sliter: når et domene blir flagget, er det allerede erstattet.
• Unngåelse innebygd i designet. AI-modeller trent på sikkerhetsdeteksjonsmønstre kan nå generere QR-koder og landingssider som er spesielt utviklet for å unngå å utløse filtre. De etterligner den visuelle strukturen til legitime sider med høy nøyaktighet – riktig skriftvekt, autentisk utseende på skjemafelt, realistiske feilmeldinger når feil påloggingsinformasjon legges inn (et klassisk triks for å samle inn flere passordforsøk).

Den praktiske implikasjonen er enkel: de visuelle og kontekstuelle signalene som en gang hjalp folk med å identifisere svindel, blir stadig mindre pålitelige. Skepsis til kilden – ikke bare utseendet – er nå det viktigste filteret.