Waarom criminelen je nu afbeeldingen van links sturen

Een linkscanner is een eenvoudig, onvermoeibaat apparaat. Het leest de tekstuele URL's in een e-mail, controleert ze tegen lijsten met bekende schadelijke domeinen, volgt omleidingen en markeert degenen die ergens naar toe gaan waar het niet hoort. Het doet zijn werk goed. Dus criminelen deden het voor de hand liggende: ze stopten met het sturen van links.

Ze begonnen afbeeldingen van links te sturen.

Dat is de truc achter 'quishing' — QR-code phishing. Een QR-code is een URL gecodeerd als zwart-wit afbeelding, dus een adres zoals login-verify.example wordt niet langer tekst in de berichtinhoud, maar pixels. Het punt is niet dat het adres gecodeerd is; iedereen's camera decodeert het onmiddellijk. Het punt is dat het nergens meer geschreven staat waar jij, of een tekstparser, het kan lezen voordat je je eraan committeert.

Of een filter het nog kan lezen, hangt volledig af van het product. Het UK's National Cyber Security Centre zet de grens voorzichtig in zijn bericht van februari 2024 over QR-codes: "Niet alle beveiligingstools ontworpen om phishing-e-mails op te sporen, scannen afbeeldingen." Let op wat dat niet zegt. Het zegt niet dat geen van hen dat doen. Microsoft publiceerde de andere kant ervan in november 2024: Defender for Office 365, schreef het bedrijf, "heeft zijn mogelijkheden verbeterd om URL's uit QR-codes te extraheren," door middel van beeldverwerking vroeg in de mailstroom om "URL's verborgen in QR-codes te extraheren en te registreren," en het extraheert nu ook QR-metagegevens en zoekt naar het omringende patroon — minimale berichttekst, een merklokkertje, een omleidingsketen. Dus "de filter kan het niet lezen" was waar voor veel producten een tijdje, is nog steeds waar voor sommige, en is niet een natuurwet. Of het waar is voor jouw eigen mail, dat is een vraag over het product en de configuratie van jouw provider, niet over QR-codes.

De getallen die controleerbaar zijn, komen van dezelfde leverancier, en het is waard om ze met hun context te lezen. Microsoft's bericht van november 2024 beschrijft een golf met "enkele aanvallen met een groeipercentage van 270% per maand," zegt dat "op het hoogtepunt Defender for Office 365 3 miljoen pogingen dagelijks blokkeerde," en dat na de verzending van het detectiewerk "we dit getal hebben zien krimpen tot 200.000 QR-code phishing-pogingen elke dag." Microsoft's Digital Defense Report 2026 zet een totaal op de huidige schaal: 145+ miljoen QR-code phishing-aanvallen opgespoord tussen juli 2025 en juni 2026 door Defender for Office 365. Al die getallen zijn telemetrie van één leverancier voor zijn eigen product, zelf gerapporteerd. Ze zijn niet een aandeel van alle phishing, en ze zijn niet een industrietotaal — een eerdere versie van dit artikel citeerde een aandeel van ongeveer 25% dat geen Microsoft-publicatie lijkt te ondersteunen, en dat getal is verwijderd in plaats van vervangen.

Wat de techniek duurzaam maakt, is de overdracht, niet de codering. De e-mail landt op een laptop, waar het bedrijfsfilter, de beheerde browser en de wachtwoordmanager zich bevinden. De code wordt gescand op een telefoon, wat meestal een persoonlijk apparaat is. De NCSC vermeldt dit onder de redenen waarom criminelen de methode bevoordelen: "Persoonlijke apparaten hebben mogelijk niet dezelfde beveiligingsmaatregelen als een computer die door je werkgever wordt verstrekt." Op een telefoon wordt de adresbalk ingekort, is de volledige URL moeilijk te controleren, en is een wachtwoordmanager die zou hebben geweigerd auto-invullen op het verkeerde domein helemaal niet betrokken.

De thema's zijn saaizend voorspelbaar, wat op zich al opvallend is, en ze verschijnen woord voor woord in de consumentenwaarschuwingen. De waarschuwing van de FTC van december 2023 beschrijft criminelen die de echte QR-code op een parkeermetersticket bedekken met hun eigen sticker, en waarschuwt duidelijk: "Scan geen QR-code in een e-mail of sms-bericht dat je niet verwachtte," vooral geen die je dwingt onmiddellijk in actie te komen. De openbare dienstmededelingen van de FBI IC3 van januari 2022 zeggen hetzelfde over manipulatie — "Cybercriminelen manipuleren zowel digitale als fysieke QR-codes om legitieme codes door schadelijke codes te vervangen" — en vertellen mensen om fysieke codes te controleren op "een sticker op de originele code geplaatst." Een code om vervallende multi-factor authenticatie opnieuw in te schakelen, een handtekeningverzoek dat je niet verwachtte, een verzendnotitie die je vraagt bezorging te bevestigen: het ontwerpsdoel is altijd een kleine, plausibele reden om de telefoon op te tillen voordat iets wordt gecontroleerd.

Dus de verdedigingsmaatregelen zijn de saaie, en het zijn degenen die de instanties eigenlijk publiceren. Het advies van IC3 voor een bericht dat een betaling of login na een scan wil: "bel het bedrijf om te verifiëren," gebruikmakend van "het telefoonnummer van het bedrijf via een vertrouwde site in plaats van een nummer in de e-mail," en "vermijd betalingen via een site bereikt via een QR-code. Voer in plaats daarvan handmatig een bekend en vertrouwd URL in." Niets daarvan vereist dat je bepaalt of een bepaald vierkantje schadelijk is — wat het deel is waar geen mens goed in is.

Één ding wat een QR-code in een e-mail je nooit vertelt, is of het bericht vervalst was. Domeinauthenticatie beantwoordt een volledig ander vraagstuk, en de huidige DMARC-specificatie sluit "content analyse" expliciet uit van zijn bereik — daarom kan een volledig geverifieerd bericht een schadelijke afbeelding bevatten. Dit mechanisme verdient zijn eigen lezing, en het is het onderwerp van een bijbehorend artikel in deze serie.

Correctie, 20 oktober 2026. Een eerdere versie van dit artikel zei dat een spamfilter een QR-code niet kan lezen en dat scanners blind zijn voor het gecodeerde adres. Dat geldt voor sommige e-mailbeveiligingsproducten en niet voor anderen: Microsoft documenteerde URL-extractie uit QR-codes in Defender for Office 365 in november 2024, en de formulering van de NCSC is dat niet alle tools afbeeldingen scannen. Het artikel citeerde ook een getal van ongeveer 25% van e-mail phishing met QR-codes, toegeschreven aan Microsoft; geen Microsoft-publicatie die dit aandeel ondersteunt kon worden gevonden, dus het getal is verwijderd en vervangen door getallen die Microsoft direct publiceert, met hun product en periode vermeld. Een demonstratiedomein voor phishing dat als live link was weergegeven, is vervangen door een niet-aanklikbaar voorbeeld in de gereserveerde .example-naamruimte, en een verwijzing naar de CISA-startpagina is vervangen door de specifieke advisories van FBI IC3 en FTC.