De stickertruc
De methode is ontwapenend eenvoudig. Een oplichter loopt een restaurant binnen, spot de QR-codestandaards op de tafels of bij de ingang en plakt er een versgedrukte sticker overheen: met zijn eigen QR-code. De hele operatie duurt minder dan dertig seconden per tafel.
De neppagina die opent, is een bijna perfecte kopie van een bestel- of betaalpagina: de juiste logo's, de juiste huisstijlkleuren, soms zelfs de naam van het restaurant. De klant, in de overtuiging dat hij de menukaart van vandaag bekijkt, voert zijn bankkaartgegevens in op een frauduleuze website.
De techniek beperkt zich niet tot restaurants: Cybermalveillance.gouv.fr, het Franse overheidsplatform voor hulp bij cybercriminaliteit, waarschuwt ook voor nep-QR-codes op parkeerautomaten en laadpalen voor elektrische auto's.
Restaurants die overstappen op digitale menu's zonder fysieke bescherming (gegraveerde QR-codes, vergrendelde houders) zijn geliefde doelwitten. Kleine zaken die hun standaards zelf op gewoon papier printen, zijn het kwetsbaarst.
Hoe herken je het
Inspecteer de QR-code fysiek voordat je scant. Nepstickers zitten vaak lichtjes scheef, met randen die overlappen of een drukkwaliteit die afwijkt van de rest van het restaurantmateriaal.
Gebruik een QR-lezer die de volledige URL toont voordat de link opent. De ingebouwde Camera-app van iOS en de standaard Android-lezers tonen doorgaans de URL, neem even de tijd om die te lezen. Aanvallers gebruiken typosquatting: 'carte-restaurant-lyon.com' in plaats van de officiële website van de zaak.
Wees extra op je hoede als de pagina die opent om je bankkaartgegevens vraagt terwijl je alleen een menu wilt bekijken. Geen enkel legitiem restaurant zet toegang tot het menu achter een betaling.
Vraag bij twijfel gewoon aan een medewerker om je de menukaart of de QR-code uit het interne systeem te tonen: niet die op de tafelstandaard.
Wat Trasimène doet
Trasimène heeft een ingebouwde QR-codescanner. Elke link die deze scanner leest, wordt door onze servers gecontroleerd voordat hij opent: aan de hand van de lijsten met phishing- en malwaresites die Trasimène bijhoudt, Google Safe Browsing en de uiteindelijke bestemming van eventuele doorverwijzingen.
Wordt de link herkend als gevaarlijk, dan opent hij niet: er verschijnt een waarschuwing en jij beslist of je hem toch opent. De registratiedatum van het domein wordt, als die bekend is, getoond om je te helpen inschatten, maar telt niet mee in het oordeel.
Deze controle loopt via de scanner van de app: open die voordat je op de QR-code richt. Een QR-code die je met de camera-app van je telefoon leest, wordt niet gecontroleerd. Staat de optionele VPN van Trasimène aan, dan herkent die achteraf een bezoek aan een site die al op onze lijsten staat en meldt hij dat in de app. Hij blokkeert de pagina niet zelf: alleen Quad9, de Zwitserse dienst waaraan hij het opzoeken van namen overlaat, weert van zijn kant de kwaadaardige domeinen die hij kent.
Oplettendheid blijft de eerste verdedigingslinie. Even kijken voor je scant, de URL lezen voor je iets intypt, een vraag stellen bij twijfel: die simpele gewoontes volstaan om de overgrote meerderheid van QR-code-aanvallen te verijdelen. En met de juiste beveiligingsapp is er geen enkele reden om ze niet te automatiseren.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Bescherm jezelf tegen QR-phishing