Stop med at scanne blindt – din QR-refleks er for langsom

Jeg stod ved en parkeringsautomat på Nørrebro i regnvejr, halvanden minut til parkeringsvagten kom rundt om hjørnet. Automatskærmen var død, men der sad en frisk QR-kode med “Scan for nem betaling”. Jeg scannede. Klikkede. Var millisekunder fra at taste kortinfo, før min hjerne vågnede og hviskede: “Hvorfor er det her domæne på .net og ikke noget med kommunen?”

Den situation er efterhånden standard i dansk hverdag: parkering, menukort, pakkebokse, offentlige bygninger, events. QR overalt. Og svindlerne har luret, at hjernen går automatisk i “det er nok rigtigt”-mode, når vi ser den sort-hvide firkant.

Det her handler om at gøre én ting: Få en hurtig QR-vane, så du kan nå at tjekke, før du scanner færdig. Og have en plan, hvis du allerede kom til at gøre det.

1. Hvad er QR-svindel og quishing – og hvorfor virker det så godt?

QR-koder er i sig selv bare en måde at gemme data på, typisk et link. Det gør dem praktiske. Men også perfekte til at skjule, hvad du egentlig er på vej ind på.

Quishing er et ordspil på phishing (falske mails/SMS) kombineret med “QR”. Pointen er den samme: Få dig til at klikke på et falsk link og for eksempel:

• tømme dine kortoplysninger
• lokke dig til at logge ind med MitID, netbank eller mail
• få dig til at installere ondsindet software

Politiet og Sikker Digital advarer specifikt om, at QR bliver brugt mere i svindel, fordi du ikke ser adresselinjen, før du allerede har mobilen fremme og er “i gang”.

Og svindlerne kender din hverdag. De kopierer typisk situationer, hvor du er:

• travl (parkering, offentlig transport, events)
• let stresset (bøde-frygt, tidsfrist, billetkontrol)
• vandt til QR (restaurant, wifi, pakkebokse)

Kombinationen af vane + tidspres er guld for dem. Heldigvis kan du ødelægge deres plan med en ret simpel mikro-rutine.

2. Syv tegn på en mistænkelig QR i virkeligheden

Inden vi kommer til mobiltricket, skal vi lige have dine øjne med. Her er de mest typiske visuelle tegn, jeg ser i sager og eksempler fra bl.a. politi og banker.

1) Overklistermærket QR

Står du ved en parkeringsautomat, el-ladestander eller billetstander og ser en QR, der er et klistermærke lagt ovenpå noget andet print eller skærm? Så skal alarmklokken ringe.

De legitime aktører får typisk lavet en integreret løsning: QR printet i designet, på skærmen eller indbygget i selve automaten. Et skævt klistermærke kan godt være ægte, men det er et tydeligt “stop-op”-signal.

2) Mismatchet afsender og sted

QR ved en kommunal parkeringsplads, men teksten nævner et random privat firma du aldrig har hørt om. QR på en restaurantdør, der pludselig sender dig ind på en generisk “MenuApp24.com” side uden restaurantnavn.

Afsender skal matche din situation. Er du i tvivl, så spørg personalet eller brug automaten/appen, du plejer.

3) Hysterisk sprog eller trusler

“BETAL NU ELLERS MODTAGER DU EN BØDE” eller “SIDSTE CHANCE INDEN DIN KONTO LUKKER”. Den type tekst er allerede et klassisk phishing-tegn i mails og SMS, og det gælder også ved QR.

Offentlige myndigheder og seriøse firmaer skriver typisk mere neutralt og informativt, ikke passiv-aggressivt.

4) Manglende info om pris og vilkår

Ved betaling skal der være basal information: pris, gebyrer, hvem du betaler til. Hvis QR’en bare siger “betal nemt via QR” uden andet, så er det for tyndt.

Det gælder især ved svindel-relaterede situationer som parkering, events og “administrationsgebyrer”.

5) Forvirrende blanding af logoer

Et klistermærke med tre forskellige logoer, lidt pixeleret, måske en gammel version af MobilePay-logoet blandet med to-tre andre mærker. Meget hjemmelavet Canva-energi.

Virksomheder og kommuner har typisk styr på deres designlinje. Rodet grafik er ikke bevis for svindel, men igen et “måske lige tjekke to gange”.

6) QR på mærkelige steder

En tilfældig QR på en lygtepæl med “gratis wifi”, en QR inde i bussen, som ikke matcher de officielle kampagner, eller en løs seddel i opgangen om “hurtig varmeaflæsning”.

Spørg dig selv: Hvem har en interesse i, at jeg scanner her? Hvis svaret er “ingen, der normalt ville hænge ting op på denne måde”, så brug ekstra skepsis.

7) Ingen anden kontaktinfo

Ser du en QR, hvor der hverken står hjemmeside, telefonnummer, virksomhedsnavn eller CVR, er det et kæmpe minus.

Jo mindre afsender, jo vigtigere er dit næste step: at tjekke linket, før du åbner det.

3. Sådan forhåndstjekker du en QR på iPhone og Android

Den vigtigste vane er den her: Du må godt scanne, men du skal ikke trykke “åbn” uden at tjekke domænet først.

iPhone (iOS): Brug kameraet, ikke en tilfældig QR-app

Standard-kameraet på iPhone er faktisk din ven her.

1. Åbn Kamera.
2. Peg på QR-koden, til den gule ramme dukker op.
3. Vent et halvt sekund og kig på den lille bjælke øverst.

Der står et domæne eller en URL-preview. Du behøver ikke trykke på den. Bare læs.

Tjek følgende, før du overvejer at åbne:

• Er domænet stavet rigtigt? (mitid.dk vs miitid-login.com)
• Matcher domænet den aktør, du forventer? (parkering.kk.dk, easypark.dk, q-park.dk, osv.)
• Er det en mærkelig kombination som “kommunenavn-pay-support.net”?

Hvis noget ser off ud, så tryk på det lille kryds på notifikationen eller peg væk. Du har ikke åbnet noget endnu.

Android: Kamera eller Google Lens – samme princip

På mange Android-telefoner (Samsung, Pixel, OnePlus osv.) kan standardkameraet læse QR. Ellers dukker Google Lens-ikonet op.

1. Åbn Kamera.
2. Peg på QR-koden, til du ser et lille link-ikon eller pop-up.
3. Læg mærke til den tekst, der står under linket.

Nogle modeller viser direkte domænet, andre giver et kort preview. Men du kan altid trykke og holde på linket og vælge noget i stil med “Vis fuld URL”, uden at åbne i browser.

Igen: Kig på stavning, domæne-endelse (.dk vs .com.co eller .top osv.) og om navnet matcher din situation.

Hurtig domæne- og mavefornemmelses-tjek

Lav din egen 3-sekunders score:

• 0 røde flag: Kendt aktør, klar kontekst, korrekt .dk-adresse. Lav risiko.
• 1 gult flag: Ukendt navn, men okay-domæne. Overvej at google navnet hurtigt.
• Røde flag: Underlig stavning, mærkeligt domain, næsten-navne på kendte tjenester, eller tidspres-tekst. Lad være.

Den her lille stopklods er i samme familie som vores 3-minutters tjek af fupwebshops. Samme princip: ét kort mental pitstop, før du kører videre.

4. Betaling via QR – minimumsregler der redder dig

Nogle gange skal du faktisk betale via QR. Parkering, MobilePay-links, donationer osv. Du behøver ikke boykotte det hele, men lav et par faste regler.

Regel 1: Brug kendte apps derinde, ikke kort i browseren

Hvis QR-linket åbner en side, der vil have dig til at taste kortoplysninger direkte, så er niveauet højere risiko end en løsning, der sender dig videre til:

• din egen netbank-app
• din MobilePay-app
• kendte betalingsløsninger (Nets, Klarna, PayPal osv.)

Generelt er det tryggere at godkende betalinger i de apps, du kender, fremfor på tilfældige webformularer.

Læs gerne vores artikel om hvilken betalingsmetode der er sikrest online, hvis du vil nørde det niveau mere.

Regel 2: Ingen MitID via QR-genveje

Hvis en QR sender dig til en side, der beder om MitID, skal du være ekstra kritisk. Det gælder især, hvis QR’en sad på en plakat, et brev eller en automat.

MitID og netbank bør du åbne via dine egne apps eller ved selv at skrive adressen i browseren. Ikke via et random QR-link.

Regel 3: Parkering har alternativer

Når du står ved en parkeringsautomat, har du næsten altid et alternativ:

• Betal på selve automaten (kort eller mønter).
• Brug en officiel parkeringsapp (EasyPark, ParkMan, OK osv.).
• Google p-selskabet og find linket derfra.

Hvis QR’en føles tvivlsom, så vælg en af de andre veje. Bøden er irriterende, men værre er det, hvis nogen får adgang til dit kort.

5. Hvis du allerede scannede – 10 minutters skadebegrænsning

Okay, nu til den del mange faktisk googler: “Hvad gør man, hvis man har scannet en QR?”

Scenarie 1: Du scannede, så et mærkeligt site, men nåede ikke at taste noget ind.

Her er du ofte sluppet relativt billigt, især hvis du ikke downloadede noget. Men lav alligevel denne korte rutine:

1. Luk fanen eller browseren helt.
2. Ryd browserens historik og cookies fra i dag.
3. Kør en hurtig antivirus-scanning, hvis du har sikkerhedsapp på mobilen.

Scenarie 2: Du har tastet login eller kortinfo ind på en side, du nu mistænker.

Her tæller minutterne lidt mere. Gør følgende indenfor cirka 10 minutter:

• Mail/SoMe login: Skift adgangskode med det samme. Aktiver totrinsbekræftelse.
• Netbank/MitID: Kontakt banken og evt. MitID support straks for at få vurderet risiko og blokering.
• Kortoplysninger: Spær kortet via bankens app eller hotline.

Gem også QR-koden (tag et billede) og screenshots af siden, hvis du kan. Det hjælper, hvis du senere anmelder til politiet eller banken.

6. Hvis du tastede kort eller følsomme oplysninger – hvem ringer du til først?

Her er den prioriterede rækkefølge, baseret på anbefalinger fra banker og politi. Tænk på det som din lille nødliste.

1) Spær kort og konto

Hvis det handler om kortoplysninger:

• Åbn din netbank-app og find “spær kort”.
• Eller ring til bankens døgnservice (nummer står typisk bag på kortet).

Jo hurtigere, jo bedre. Mange banker kan stoppe transaktioner, der kun er “reserveret”, hvis du reagerer tidligt.

2) Kontakt banken og forklar QR-situationen

Fortæl tydeligt, at der er tale om mulig QR-svindel:

• Hvor sad QR’en?
• Hvad stod der på siden?
• Hvilke oplysninger tastede du ind?

De kan hjælpe med at vurdere, om der også skal lukkes for netbank, ændres daglige beløbsgrænser osv.

3) Sikr MitID, hvis det var i spil

Hvis du har indtastet MitID-oplysninger via et QR-link, er det kritisk. Følg anvisningerne på Sikker Digital og MitIDs egen support:

• Spær MitID, hvis de vurderer det nødvendigt.
• Hold øje med beskeder fra bank og offentlige myndigheder.

4) Meld svindlen

Når den akutte del er håndteret, bør du anmelde:

• Til politiet via politi.dk eller ved personligt fremmøde, afhængigt af beløb og situation.
• Eventuelt til virksomheden eller myndigheden, som svindlerne udgav sig for at være.

Det føles måske som ekstra bøvl, men anmeldelsen er også et datasignal, der gør det nemmere at få mønstre øje på, både for politi og bank. Det er i samme familie som de problemer, vi ser ved skjulte abonnementer og “gratis” køb, vi tidligere har skrevet om i artiklen om skjulte abonnementer.

7. Gør dig selv sværere at ramme – små indstillinger med stor effekt

Til sidst får du lige nogle hverdags-justeringer, der gør QR-svindel (og anden online-fusk) sværere at lykkes mod dig.

Aktiver sikker browsing i din browser

Både Chrome, Safari og mange andre har indbygget beskyttelse mod kendte fup-sider.

• I Chrome: Indstillinger > Privatliv og sikkerhed > Sikker browsing > vælg mindst “Standardbeskyttelse”.
• I Safari (iOS): Indstillinger > Safari > “Advarsel om bedrageriske websteder” skal være slået til.

Det redder dig ikke fra alt, men kan tage toppen af de mest kendte fælder.

Brug totrinsbekræftelse konsekvent

Når dine vigtigste konti har totrinsbekræftelse (mail, sociale medier, netbank), er stjålne login-oplysninger mindre værd for svindlerne.

Det er lidt samme tankegang som vores artikel om oprydning i gamle konti: lidt kedeligt nu, stort plus senere.

Hold apps og styresystem opdateret

Opdateringer lukker ofte sikkerhedshuller, der også kan udnyttes via ondsindede sider. Sørg for, at både styresystem (iOS/Android) og browser er nogenlunde up to date.

Lav en fælles QR-regel i familien

Hvis du har forældre, bedsteforældre eller unge i familien, der scanner løs, så lav én simpel regel:

• “Vi scanner kun QR fra steder og aktører, vi kender, og vi taster aldrig MitID eller kortinfo ind uden at spørge en anden først.”

Det behøver ikke være et helt foredrag om digital etik. Bare én sætning, alle kan huske.