Quishing is phishing via een QR-code. De valse link staat niet als klikbare tekst in de mail, maar zit verstopt in een QR-code in de mail, een bijlage of op papier. Wie scant, komt op een nagemaakte inlog- of betaalpagina.

Is een QR-code in een mail altijd verdacht?

Niet altijd, maar wel als u daarmee moet inloggen, een wachtwoord moet wijzigen, tweestapsverificatie moet instellen of moet betalen. Open in die gevallen altijd zelf de app of de bekende website.

Houdt het spamfilter QR-codephishing tegen?

Niet altijd. Een QR-code is een afbeelding en niet elk filter leest de link daaruit. Daarom komen deze berichten vaker in de inbox dan gewone phishing. De afspraak binnen uw team blijft de belangrijkste verdediging.

Wat doet Floor ICT als een medewerker een nep-QR-code heeft gescand?

Floor ICT trekt de sessies in, controleert de tweestapsverificatie, verwijdert verdachte inbox- en doorstuurregels en zoekt in de logboeken uit wat er is gebeurd. Een eventuele melding bij de bank of de Autoriteit Persoonsgegevens regelt u zelf.

QR-codephishing: hoe het MKB nep-QR-codes in mail en op papier herkent

Een mail van ‘IT’ of ‘Microsoft’ meldt dat de tweestapsverificatie verloopt. Scan de QR-code om die te verlengen. Er staat geen link in de mail, alleen een plaatje. Een collega pakt de telefoon, scant, en logt in op een pagina die er precies uitziet als Microsoft 365. Het wachtwoord en de code zijn dan al weg.

Hoe een nep-QR-code binnenkomt

QR-codephishing werkt hetzelfde als gewone phishing: iemand probeert u naar een valse inlogpagina te sturen of u iets te laten betalen. Het verschil is dat de link in een QR-code zit. In het MKB komt dat meestal op deze manieren binnen:

in een mail: een bericht dat lijkt te komen van Microsoft, de IT-afdeling of HR vraagt om een QR-code te scannen, bijvoorbeeld om tweestapsverificatie te ‘verlengen’, een gedeeld document te openen of een nieuwe salarisstrook te bekijken;
in een bijlage: de QR-code staat in een pdf of afbeelding, zodat er in de mail zelf helemaal geen link te zien is;
op papier of op straat: een brief die lijkt op een aanmaning, een sticker over de echte QR-code op een parkeerautomaat of laadpaal, of een flyer met ‘scan voor uw korting’.

De mailvorm is voor een bedrijf het belangrijkst, omdat die zich direct richt op het Microsoft 365-account van een medewerker.

Waarom het langs de beveiliging glipt

Twee dingen maken QR-codephishing lastig:

het filter ziet geen link: mailbeveiliging controleert vooral klikbare links. Een QR-code is een plaatje, en niet elk filter leest dat uit. Het bericht komt daardoor vaker in de inbox terecht;
de scan gebeurt op een telefoon: de medewerker leest de mail op de laptop, maar scant met de telefoon. Dat is vaak een privételefoon zonder de beveiliging van de werkplek, en op een klein scherm ziet niemand goed welk adres er eigenlijk opent.

Daarom is ook hier de afspraak binnen uw team de belangrijkste verdediging, net als bij factuurfraude.

De afspraak die u maakt

Houd de afspraak kort, zodat iedereen hem onthoudt:

nooit inloggen via een QR-code: een legitieme vraag om in te loggen, een wachtwoord te wijzigen of tweestapsverificatie in te stellen komt bij u niet via een QR-code in een mail. Wie toch zo’n vraag krijgt, opent de app of de bekende bladwijzer zelf;
nooit betalen via een QR-code uit een mail of brief: controleer een betaalverzoek altijd via een kanaal dat u al had, zoals het klantportaal of een telefoonnummer uit uw eigen administratie;
twijfel meteen melden: spreek één plek af waar collega’s een verdachte mail doorsturen of melden, en maak duidelijk dat melden nooit een verwijt oplevert, ook niet na een scan;
QR-codes buiten kijken: zit er een sticker over een QR-code op een automaat of laadpaal, gebruik dan de app van de aanbieder.

Wat u technisch regelt

Techniek voorkomt niet elke scan, maar wel veel van de schade daarna:

sterke tweestapsverificatie: met tweestapsverificatie en nummerverificatie is een buitgemaakt wachtwoord alleen niet genoeg. Nog sterker zijn passkeys, omdat die alleen werken op de echte Microsoft-site;
voorwaardelijke toegang: laat aanmelden alleen toe vanaf beheerde apparaten of vertrouwde situaties, zodat een aanvaller met een gestolen sessie minder ver komt;
mailbeveiliging die afbeeldingen controleert: zorg dat de mailbeveiliging links in afbeeldingen en bijlagen zo goed mogelijk meeneemt, en zet veilige koppelingen en bijlagen aan;
meldingen bij afwijkend aanmelden: laat riskante aanmeldingen opvallen, zodat een aanmelding vanuit een vreemd land of vreemd apparaat snel wordt gezien.

Gescand en ingelogd: wat nu

Heeft iemand een nep-QR-code gescand en daarna gegevens ingevuld, dan telt elke minuut:

wijzig direct het wachtwoord van dat account, vanaf een vertrouwd apparaat;
laat alle actieve sessies intrekken, zodat een aanvaller ook met een gestolen sessie wordt uitgelogd;
controleer of er nieuwe methoden voor tweestapsverificatie, doorstuurregels of inboxregels zijn toegevoegd;
kijk of er vanuit het account mail is verstuurd naar klanten of collega’s, en waarschuw hen zo nodig;
zijn er betaalgegevens ingevuld, bel dan direct uw bank.

Weeg daarna af of er persoonsgegevens kunnen zijn ingezien. Dan kan een melding bij de Autoriteit Persoonsgegevens nodig zijn. Die afweging maakt u zelf; Floor ICT levert de feiten uit de logboeken aan.

Wat Floor ICT regelt

Floor ICT richt tweestapsverificatie, voorwaardelijke toegang en mailbeveiliging in Microsoft 365 in, en houdt aanmeldingen in de gaten. Bij een vermoeden van een gestolen account trekken we sessies in, verwijderen we verdachte regels en methoden en zoeken we in de logboeken uit wat er is gebeurd. De afspraak over QR-codes en melden legt u zelf vast met uw team; wij helpen graag met de tekst.