Betaalfraude

Nep QR-code herkennen: vijf controles voordat je scant

Een klein vierkantje met blokjes vervangt steeds vaker een link of een betaalverzoek. Dat is precies waarom het werkt: je typt geen adres meer over en ziet onderweg niets meer van waar je naartoe gaat. De Consumentenbond beschrijft QR-fraude daarom letterlijk als "je scant een QR-code en je komt ergens anders terecht dan je zou verwachten", bijvoorbeeld op een nepwebsite (Consumentenbond, QR-code-fraude, bijgewerkt 9 juli 2026). De Fraudehelpdesk ziet de code opduiken in nep-rekeningen en boetes: "In het bericht staat een linkje of QR-code waarmee u kunt betalen" (Fraudehelpdesk, ik heb een rekening ontvangen). En de FBI waarschuwt al sinds 2022 dat criminelen QR-codes - digitaal én fysiek - manipuleren om betalingen om te leiden (FBI IC3, PSA 220118).

De regel die dit patroon doorbreekt: controleer altijd de bestemming van de code voordat je betaalt of gegevens invult, en scan nooit een code die iemand anders voor jou heeft neergelegd of gestuurd.

Direct antwoord: vijf controles voordat je een QR-code scant

1. Bekijk eerst waar de code naartoe wijst, niet pas na het betalen. De camera en je betaal-app tonen in de meeste gevallen het webadres of de begunstigde voordat je doorklikt of bevestigt (Consumentenbond). Controleer dat adres zoals je een link in een phishingmail zou controleren, en let op verdachte tekens in het domein - dat is ook de tip van de politie bij neppe kaartjes in de brievenbus (RTL Nieuws, 9 april 2025).
2. Typ bekende bestemmingen zelf. Een brief, mail of factuur met een QR-code voor een betaling aan de overheid, een bank of een incassobureau is geen reden om te scannen: open zelf de app of het portaal en zoek het bedrag daar op. De Belastingdienst mailt nooit QR-codes voor betalingen (Belastingdienst, phishing), en je bank stuurt geen code voor een betaling die jij niet zelf start.
3. Op een openbare plek: controleer of de code opnieuw is aangebracht. Criminelen plakken bij betaalautomaten, laadpalen en parkeerautomaten een eigen code over de echte heen; in 2025 gebeurde dat bij parkeerautomaten in Den Haag en omgeving, eerder bij laadpalen in België (Consumentenbond). Een sticker die loslaat, een code naast de officiële code of een code op een plek waar geen betaalpunt hoort te zijn: niet scannen.
4. Wees extra wantrouwig bij haast en bij verkorte links. Een verkorte link zoals bit.ly in een QR-code is volgens de Consumentenbond extra verdacht, want er is ruimte genoeg voor een volledig webadres (Consumentenbond). Datzelfde geldt voor "je pakket", "je boete" of "je lot" met een deadline: druk is het mechanisme, niet het bewijs.
5. Vul na het scannen nooit inloggegevens of kaartgegevens in op een pagina die je niet zelf hebt opgezocht. De Fraudehelpdesk beschrijft hoe een QR-code aan de deur naar een valse Clubactie-website leidde waar melders hun creditcardgegevens en mailadres invulden; de echte organisatie vraagt daar nooit om (Fraudehelpdesk, valse Clubactie). Gebruik ook geen onbekende QR-scanner-apps, want die kunnen zelf malafide zijn (Consumentenbond).

Twee verschijningsvormen, één structuur

Vorm A - de overgeplakte of nagebouwde code. Je staat bij een automaat of balie en scant wat er hangt. De code is vervangen of nagebouwd, en de betaling gaat naar een rekening van iemand anders (FBI IC3; Consumentenbond).

Vorm B - de code komt naar jou toe. Een brief, kaartje door de brievenbus, mail of factuur met een QR-code voor een betaling, een pakket of een "terugbetaling" (RTL Nieuws; Fraudehelpdesk). De code leidt naar een nep-betaalpagina of een inlogpagina die je gegevens oogst.

In beide gevallen is er één gemene deler: de beslissing valt niet op het moment dat je de code ziet, maar op het moment dat je de bestemming controleert. Wie de bestemming niet kan zien voordat er iets betaald wordt, scant niet.

Wat een detector wel en niet ziet

Van een QR-code kun je een schermafbeelding of foto in de afbeeldingsdetector zetten om te kijken of het beeld patronen draagt die bij gegenereerd of bewerkt beeld horen. Dat is triage, niets meer: een detector ziet niet waar een code naartoe wijst, kan een geldige code niet van een kwaadaardige onderscheiden, en een nagemaakte code kan een lage score krijgen. Waar de code naartoe leidt, zie je alleen in je camera of betaal-app voordat je doorklikt (Consumentenbond).

Wat je niet uit een QR-code kunt afleiden

• of de code bij het bedrijf hoort dat op de poster, brief of automaat staat;
• of de betaalpagina van de organisatie is die in het bericht wordt genoemd;
• of er werkelijk een pakket, boete of terugbetaling voor jou klaarstaat;
• of er sprake is van oplichting; dat stelt alleen een bank of opsporingsinstantie vast.

Als je al hebt gescand of betaald

• Neem direct contact op met je bank via het nummer dat je zelf hebt; snelheid bepaalt de kans op een blokkade of terugboeking.
• Heb je inloggegevens of kaartgegevens ingevuld? Wijzig dan direct de wachtwoorden van die accounts en laat een kaart blokkeren die je daar hebt gebruikt.
• Bewaar alles: de brief, het kaartje, de mail, de foto van de code, het webadres en het tijdstip.
• Meld het bij de Fraudehelpdesk en bij de organisatie namens wie de code zou zijn; bij schade kun je aangifte doen bij de politie (Fraudehelpdesk, fraude melden).

Meer controles staan in de gidsen over een nep-betaalbewijs herkennen, een nep telefoontje namens de bank en een nep bericht namens de Belastingdienst. Wil je alleen een bestand of bericht checken, gebruik dan de gratis checker.

Veelgestelde vragen

Is scannen zelf gevaarlijk?

Niet per se: het gevaar zit in het doorklikken en invullen, niet in het scannen (Consumentenbond). Bekijk daarom de bestemming die je camera of app toont voordat je verdergaat.

Bewijst een hoge detectorscore dat de QR-code nep is?

Nee. De score gaat over patronen in het beeld en zegt niets over de bestemming van de code of de afzender. Een echte code kan een signaal krijgen door compressie, en een nagemaakte code kan stil blijven.

Mag ik een foto van een QR-code uploaden naar de detector?

Upload alleen beeld waarvoor je toestemming hebt en dat geen persoonsgegevens van anderen bevat. Een foto van je eigen brief of van een sticker op straat kan meestal wel; vermijd codes met iemands naam, rekeningnummer of adres erbij.