Hur man förhindrar bedrägerier med quishing eller QR-kod

Kan du bli hackad genom att skanna en QR-kod?

Att förstå hela hotbilden kring QR-koder hjälper dig att känna igen hoten innan du blir ett offer. Här är de vanligaste attackmönstren 2025.

Tricket med falska klistermärken

Den vanligaste fysiska metoden innebär falska QR-kodklistermärken som placeras direkt över äkta koder – på parkeringsautomater, restaurangbord, trafikskyltar eller butiksskyltar. Du tror att du öppnar en kartlänk eller betalar vid en betalterminal. I verkligheten skickas dina kortuppgifter direkt till en bedragares falska portal. En snabb fysisk inspektion – att kontrollera om koden sitter plant eller ser ut som om den har lagts i lager – kan rädda dig helt från detta.

Quishing via e-post och Office-verktyg

Eftersom människor vanligtvis skannar QR-koder med sina telefoner, kringgår de inbäddade URL:erna säkerhetsverktyg på datorer som brandväggar och URL-blockerare. Detta gör QR-kodshackning via e-post särskilt effektivt. Meddelandet ser ut som om det kommer från Microsoft, din bank eller ditt företags IT-avdelning – komplett med logotyper och professionell formatering.

Hela 27 % av dessa quishing-attacker använder falska varningar om multifaktorautentisering: "Din session har gått ut – skanna för att verifiera igen." Denna brådska är utformad för att hindra dig från att tänka efter en extra gång.

QR-koder gömda i dokument och fysisk post

Detta är en av de mer förbisedda farorna med att skanna QR-koder: en halv miljon phishing-e-postmeddelanden med QR-koder inbäddade i PDF-bilagor upptäcktes bara under mitten av 2024. Dokumentet ser legitimt ut – en faktura, ett utdrag över förmåner, ett leveransbesked – och QR-koden inuti verkar vara en praktisk genväg. FTC har också flaggat för en kraftig ökning av bedrägerier via fysisk post, där länkar till skadlig programvara via QR-koder skickas ut tryckta på falska fraktsedlar eller räkningar.

AI-drivna quishing-kampanjer

Den senaste och mest oroande utvecklingen av cybersäkerhetshotet quishing involverar AI-genererade phishing-sidor som är nästan omöjliga att skilja från de äkta. Angripare kan nu på några minuter skapa en övertygande falsk boknings- eller PayPal-inloggningssida, skräddarsydd för ett specifikt mål, med realistisk branding och personlig text. Detta har gjort det betydligt svårare att förebygga bedrägerier med QR-koder för både individer och organisationer.

Men hotet sträcker sig långt bortom falska inloggningssidor. AI används nu i varje steg av attackprocessen – från val av mål till leverans och undvikande.

• Hyperpersonlig lockelse. Traditionell phishing förlitade sig på generiska lockbeten – "ditt konto har stängts av". AI-drivna kampanjer hämtar information från offentligt tillgängliga data: din arbetsgivare, din stad, dina senaste inköp. Resultatet är en QR-kodsbedrägeri som känns som om den skrevs specifikt för dig, för i viss mening var den det. En falsk faktura från en leverantör du känner igen. En "missad leverans"-lapp som matchar din faktiska adress. Denna nivå av specificitet är det som gör modern quishing-phishing så svår att avfärda vid en första anblick.
• Röst- och deepfake-förstärkning. I attacker med högre värde – som vanligtvis riktar sig mot anställda inom ekonomi eller HR – föregås den skadliga QR-koden nu av AI-genererade röstsamtal eller deepfake-videomeddelanden. Samtalet skapar förtroende ("Hej, det här är IT-supporten – du kommer snart att få en verifieringskod"), och QR-koden anländer strax därefter via e-post eller SMS. När målet skannar den har de redan förberetts för att följa instruktionerna.
• Automatiserad infrastruktur i stor skala. Det som en gång krävde teknisk expertis att sätta upp – falska domäner, SSL-certifikat, liknande webbplatser – kan nu genereras och roteras automatiskt. Angripare distribuerar hundratals kortlivade phishing-sidor samtidigt och växlar mellan domäner tillräckligt snabbt för att ligga steget före blockeringslistor. Det är därför traditionella URL-baserade säkerhetsverktyg har svårt att hänga med: när en domän flaggas har den redan ersatts.
• Undvikande inbyggt i designen. AI-modeller som tränats på säkerhetsdetekteringsmönster kan nu generera QR-koder och landningssidor som är specifikt utformade för att undvika att utlösa filter. De efterliknar den visuella strukturen hos legitima sidor med hög precision – korrekta teckensnittstjocklekar, autentiskt utseende på formulärfält, realistiska felmeddelanden när felaktiga inloggningsuppgifter anges (ett klassiskt trick för att samla in flera lösenordsförsök).

Den praktiska konsekvensen är tydlig: de visuella och kontextuella ledtrådarna som en gång hjälpte människor att identifiera en bluff blir alltmer opålitliga. Skepsis mot källan – inte bara utseendet – är nu det viktigaste filtret.