Quishing: phishing via een QR-code

“Je wachtwoord verloopt vandaag. Scan de QR-code om het te behouden.” Een keurige mail met het logo van Microsoft, een pdf in de bijlage en daarin een QR-code. Een medewerker pakt zijn telefoon, scant, komt op een inlogpagina die er precies zo uitziet als die van Microsoft, en vult zijn wachtwoord in.

Dat heet quishing: phishing via een QR-code. Het is niet nieuw, maar het wordt steeds vaker gebruikt. In dit artikel leggen we uit waarom het zo goed werkt en waar je team op let.

Waarom een QR-code zo effectief is

De linkcontrole ziet hem niet. Veel mailbeveiliging controleert links in een mail: waar gaat deze link naartoe, is dat domein bekend als gevaarlijk? Een QR-code is een plaatje, vaak nog verstopt in een bijlage. Die controle glipt hij makkelijk langs.

Je scant hem met je telefoon. Daarmee stap je buiten de bescherming van je werkcomputer. Op je telefoon zie je het adres van de pagina slechter, is er vaak geen beveiligingssoftware die de pagina blokkeert, en ben je sneller geneigd op de automatische piloot te werken.

Het voelt vertrouwd. QR-codes kennen we van menukaarten, parkeerautomaten en verzendlabels. Scannen voelt onschuldig.

Waar je quishing tegenkomt

• In mail, vaak in een pdf-bijlage: een verlopend wachtwoord, een gedeeld document, een beveiligingsmelding, een uitnodiging voor tweestapsverificatie.
• Op papier: een brief of factuur met een QR-code om te betalen.
• Op straat: stickers met een nep-QR-code over de echte code heen, op parkeerautomaten, laadpalen of fietsverhuur. Wie betaalt, betaalt aan de oplichter.
• In chatberichten, waar een QR-code zogenaamd een bijlage of betaalverzoek opent.

Waar je op let

1. Een QR-code in een onverwachte mail is verdacht. Zeker als hij vraagt om in te loggen, een wachtwoord te vernieuwen, tweestapsverificatie in te stellen of iets te betalen. Een echte Microsoft-melding stuurt je niet via een QR-code naar een inlogpagina.
2. Lees het adres voordat je het opent. De meeste telefoons tonen na het scannen eerst het adres. Staat daar niet microsoft.com of login.microsoftonline.com, maar iets als ms-verify-account.info, open het dan niet.
3. Log nooit in via een gescande code. Moet je iets regelen voor je account, ga dan zelf naar de website of app die je kent.
4. Controleer stickers op straat. Zit er een sticker over de originele code, of ziet hij er vreemd uit? Betaal via de officiële app of de automaat zelf.
5. Twijfel je, meld het. Een IT-beheerder ziet liever tien valse meldingen dan één gemiste.

Wat helpt aan de technische kant

• Tweestapsverificatie, zodat een buitgemaakt wachtwoord alleen niet genoeg is. Geavanceerde phishingpagina’s kunnen ook een code onderscheppen; passkeys zijn daar wel tegen bestand. Zie passkeys: is het wachtwoord eindelijk voorbij.
• Conditional Access, dat inloggen vanaf onbekende locaties of onbeheerde apparaten kan blokkeren. Zie MFA en Conditional Access voor het mkb.
• Beheerde telefoons met bescherming tegen schadelijke websites.
• Mailbeveiliging die ook afbeeldingen en bijlagen analyseert.

En als iemand al heeft gescand

Heeft iemand alleen gescand, dan is er meestal niets gebeurd: sluit de pagina en meld het. Is er een wachtwoord ingevuld, dan geldt hetzelfde als bij gewone phishing: direct wachtwoord wijzigen, sessies afmelden, doorstuurregels controleren. Het volledige stappenplan staat in phishing herkennen: zo bescherm je je bedrijf.

Hoe SEBA Connect hierbij helpt

Bij Microsoft 365-beheer en de moderne werkplek regelen we tweestapsverificatie, inlogbeleid en de beveiliging van mail en telefoons. Klikt of scant er iemand, dan helpen we met afmelden, controleren en opruimen. Stel je vraag.