Klistermärkestekniken
Metoden är avväpnande enkel. En brottsling går in på en restaurang, får syn på QR-koderna på borden eller vid entrén och klistrar ett nytryckt klistermärke ovanpå: med sin egen QR-kod. Hela operationen tar mindre än trettio sekunder per bord.
Den falska sidan som öppnas är en nästan perfekt kopia av en beställnings- eller betalningssida: rätt logotyper, rätt varumärkesfärger, ibland till och med restaurangens namn. Kunden, övertygad om att hen bläddrar i dagens meny, matar in sina bankkortsuppgifter på en bedräglig webbplats.
Tekniken är inte begränsad till restauranger: Cybermalveillance.gouv.fr, den franska statens stödplattform mot it-brott, varnar också för falska QR-koder som klistrats på parkeringsautomater och laddstationer för elbilar.
Restauranger som går över till digitala menyer utan fysiskt skydd (ingraverade QR-koder, låsta ställ) är de främsta måltavlorna. Små restauranger som själva skriver ut sina ställ på vanligt papper är mest sårbara.
Så känner du igen den
Inspektera QR-koden fysiskt innan du skannar. Falska klistermärken sitter ofta något snett, med kanter som överlappar eller en tryckkvalitet som skiljer sig från restaurangens övriga material.
Använd en QR-läsare som visar hela URL:en innan länken öppnas. Kameraappen i iOS och den inbyggda läsaren i Android visar i regel URL:en, ta en stund att läsa den. Angripare använder typosquatting: "carte-restaurant-lyon.com" i stället för restaurangens officiella webbplats.
Var särskilt vaksam om sidan som öppnas ber om bankkortsuppgifter bara för att visa en meny. Ingen seriös restaurang låser menyn bakom en betalning.
Om du är osäker, be personalen visa dig menyn eller QR-koden i deras administrationsgränssnitt: inte den som sitter på bordsstället.
Vad Trasimène gör
Trasimène har en inbyggd QR-kodskanner. Varje länk som skannas med den kontrolleras av våra servrar innan den öppnas: mot de listor över nätfiske- och skadeprogramsajter som Trasimène underhåller, mot Google Safe Browsing och utifrån slutdestinationen för eventuella omdirigeringar.
Om länken identifieras som farlig öppnas den inte: en varning visas, och du bestämmer själv om du ändå vill öppna den. Domänens registreringsdatum visas, när det är känt, för att hjälpa dig att bedöma länken, men det påverkar inte utslaget.
Kontrollen sker i appens skanner: öppna den innan du riktar kameran mot QR-koden. En QR-kod som läses med telefonens kamera kontrolleras inte. Om Trasimènes valfria VPN är påslaget upptäcker det i efterhand ett besök på en sajt som redan finns på våra listor och meddelar dig om det i appen. Det blockerar inte sidan självt: bara Quad9, den schweiziska tjänst som det överlåter namnuppslagningen till, sorterar för sin del bort de skadliga domäner den känner till.
Vaksamhet är fortfarande det första försvaret. En snabb blick innan du skannar, att läsa URL:en innan du skriver, att ställa en fråga när du är osäker, dessa enkla vanor räcker för att stoppa den absoluta majoriteten av QR-kodsattacker. Och med rätt säkerhetsapp finns det ingen anledning att inte automatisera dem.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Skydda dig mot QR-nätfiske