Guardia Civil waarschuwt voor valse QR-codes op terrassen en in restaurants
Even met je telefoon de QR-code op tafel scannen om de menukaart te bekijken: in Spaanse restaurants en cafés is het inmiddels heel normaal. Toch waarschuwt de Guardia Civil om niet iedere QR-code zomaar te vertrouwen. Criminelen kunnen namelijk een valse code over de originele sticker plakken en bezoekers zo naar een frauduleuze website leiden.
De politie benadrukt dat QR-codes zelf niet gevaarlijk zijn. Het probleem ontstaat wanneer een bestaande code wordt vervangen of afgedekt door een exemplaar van criminelen.
Kijk eerst goed naar de sticker
De Guardia Civil adviseert restaurantbezoekers om vóór het scannen even naar de QR-code te kijken.
Controleer bijvoorbeeld of er een tweede sticker overheen lijkt te zijn geplakt, of dat de code er anders uitziet dan andere codes in het restaurant. Een fraudeur hoeft immers alleen maar zijn eigen QR-code over de originele code op een tafel of menubord te plakken.
Na het scannen is het verstandig om ook de internetpagina die wordt geopend goed te bekijken.
Kom je niet op de officiële website of digitale menukaart van het restaurant terecht, maar op een vreemde domeinnaam of een pagina die onverwachts persoonlijke gegevens vraagt, sluit deze dan direct.
Van QR-code naar phishingwebsite
Deze vorm van fraude wordt ook wel QR-phishing of ‘quishing’ genoemd.
Het Spaanse cybersecurityinstituut INCIBE omschrijft dit als phishing waarbij een vervalste QR-code wordt gebruikt om slachtoffers naar een nagemaakte website te sturen. Daar kunnen criminelen proberen persoonlijke gegevens, wachtwoorden of betaalgegevens te bemachtigen. Een QR-code kan in sommige gevallen ook doorverwijzen naar schadelijke software.
Het gevaar is dat je aan een QR-code zelf niet kunt zien welke internetpagina erachter zit. Pas nadat de code is gescand verschijnt het webadres.
Worden bank- of persoonsgegevens gevraagd? Stop dan
Een digitale menukaart heeft normaal gesproken geen reden om bijvoorbeeld je:
- bankgegevens;
- creditcardnummer;
- wachtwoord;
- pincode;
- identiteitsgegevens
op te vragen.
Wanneer een QR-code die alleen bedoeld lijkt om de menukaart te openen plotseling om dergelijke informatie vraagt, adviseert de Guardia Civil om de website onmiddellijk te verlaten.
Ook INCIBE waarschuwt dat valse QR-codes juist worden gebruikt omdat mensen gewend zijn ze zonder veel nadenken te scannen. Het instituut heeft eerder daadwerkelijke gevallen behandeld waarbij gebruikers na het openen van een frauduleuze QR-link ongewild bij betaalde diensten terechtkwamen.
Vraag bij twijfel gewoon om de menukaart
Wie twijfelt of een QR-code echt van het restaurant afkomstig is, kan het eenvoudig aan het personeel vragen.
Dat is vooral verstandig wanneer:
- een sticker duidelijk over een andere QR-code is geplakt;
- de geopende website een vreemde naam heeft;
- er direct om betaling wordt gevraagd;
- persoonlijke gegevens moeten worden ingevuld;
- je telefoon waarschuwt voor een onveilige website.
Open in zo’n geval liever de officiële website van het restaurant zelf of vraag het personeel om een fysieke menukaart.
QR-codes steeds vaker onderdeel van het dagelijks leven
QR-codes worden in Spanje inmiddels op grote schaal gebruikt. Niet alleen voor restaurantmenu’s, maar ook voor parkeren, tickets, betalingen, reclame en toegang tot websites.
Juist daardoor zijn ze interessant geworden voor cybercriminelen. INCIBE noemt expliciet het risico dat criminelen frauduleuze QR-stickers over legitieme codes plakken op plaatsen zoals restaurants en musea.
De waarschuwing betekent overigens niet dat toeristen en inwoners moeten stoppen met het gebruiken van QR-menu’s.
Het advies van de Guardia Civil is vooral om een paar seconden extra te nemen: kijk naar de sticker, controleer het webadres en vul geen gegevens in die voor het bekijken van een menukaart helemaal niet nodig zijn.
