Klistremerke-teknikken
Metoden er avvæpnende enkel. En kriminell går inn på en restaurant, får øye på QR-kodestativene på bordene eller ved inngangen, og limer et nytrykt klistremerke oppå: med sin egen QR-kode. Hele operasjonen tar mindre enn tretti sekunder per bord.
Den falske siden som åpnes, er en nesten perfekt kopi av en bestillings- eller betalingsside: riktige logoer, riktige merkefarger, av og til til og med restaurantens navn. Kunden, overbevist om at han eller hun blar i dagens meny, taster inn bankkortopplysningene sine på et svindelnettsted.
Teknikken er ikke begrenset til restauranter: Cybermalveillance.gouv.fr, den franske statens hjelpeplattform mot nettkriminalitet, varsler også om falske QR-koder klistret på parkeringsautomater og ladestasjoner for elbiler.
Restauranter som går over til digitale menyer uten fysisk beskyttelse (graverte QR-koder, låste holdere) er de fremste målene. Små spisesteder som selv skriver ut stativene sine på vanlig papir, er de mest sårbare.
Slik oppdager du det
Før du skanner, undersøk QR-koden fysisk. Falske klistremerker sitter ofte litt skjevt, med kanter som overlapper eller en trykkvalitet som skiller seg fra resten av restaurantens materiell.
Bruk en QR-leser som viser hele URL-en før lenken åpnes. Den innebygde Kamera-appen på iOS og de innebygde leserne på Android viser vanligvis URL-en, ta deg tid til å lese den. Angriperne bruker typosquatting: «carte-restaurant-lyon.com» i stedet for stedets offisielle nettside.
Vær spesielt på vakt hvis siden som åpnes, ber om bankkortopplysninger bare for å vise en meny. Ingen seriøs restaurant krever betaling for å få tilgang til menyen.
Er du i tvil, be en ansatt direkte om å vise deg menykortet eller QR-koden slik den vises i deres administrasjonsgrensesnitt: ikke den på bordstativet.
Dette gjør Trasimène
Trasimène har en innebygd QR-kodeskanner. Hver lenke som skanneren leser, sjekkes av serverne våre før den åpnes: mot listene over phishing- og skadevaresider som Trasimène vedlikeholder, mot Google Safe Browsing og ut fra den endelige destinasjonen for eventuelle omdirigeringer.
Hvis lenken gjenkjennes som farlig, åpnes den ikke: et varsel dukker opp, og du bestemmer selv om du vil åpne den likevel. Domenets registreringsdato vises når den er kjent, for å hjelpe deg å vurdere, men den teller ikke med i resultatet.
Sjekken skjer i appens skanner: åpne den før du retter kameraet mot QR-koden. En QR-kode som leses med telefonens kamera, sjekkes ikke. Hvis Trasimènes valgfrie VPN er slått på, oppdager den i etterkant et besøk på et nettsted som allerede står på listene våre, og varsler deg om det i appen. Den blokkerer ikke siden selv: bare Quad9, den sveitsiske tjenesten den overlater navneoppslaget til, luker på sin side ut de skadelige domenene den kjenner til.
Årvåkenhet er fortsatt den første forsvarslinjen. Et raskt blikk før du skanner, å lese URL-en før du taster, å stille et spørsmål når du er i tvil: disse enkle vanene er nok til å avverge de aller fleste QR-kode-angrep. Og med den rette sikkerhetsappen er det ingen grunn til å la være å automatisere dem.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Beskytt deg mot QR-phishing