Je parkeert even snel in Den Haag, Rotterdam of Maastricht en scant het gele stickertje op de automaat voor een betaallink. Binnen een paar tikken heb je je bankgegevens ingevoerd. Het probleem: die sticker hoort daar niet te hangen. Steeds meer Nederlandse gemeenten waarschuwen voor valse QR-codes op parkeerautomaten, en de truc werkt verrassend goed omdat niemand een QR-code wantrouwt.
Hoe de truc precies werkt
Criminelen printen een eigen QR-code en plakken die simpelweg over de officiële code op de parkeerautomaat. Scan je die sticker, dan land je op een pagina die eruit ziet als de app van EasyPark of een andere parkeeraanbieder, compleet met logo en kleurgebruik. Vul je daar je kaartnummer en beveiligingscode in, dan zijn die gegevens meteen bij de oplichters. In Ieper vroeg de valse pagina zelfs tien euro, ruim boven het normale tarief, wat achteraf nog het eerste signaal was dat er iets niet klopte.
Het slimme aan deze oplichting is de timing. Je staat vaak onder lichte tijdsdruk (je wilt door naar je afspraak) en een parkeerautomaat vraagt sowieso om een betaling, dus een betaalscherm voelt volkomen normaal aan. Precies die combinatie van haast en vertrouwdheid maakt QR-phishing, ook wel qishing genoemd, een van de snelst groeiende scamvormen van dit moment.
Parkeerautomaten zijn niet de enige plek waar dit opduikt. Bij restaurants vervangen fraudeurs het menukaartje met een QR-code soms door een eigen sticker die naar een valse betaalpagina of een schadelijke app leidt. Bij elektrische laadpalen gebeurt precies hetzelfde: je scant voor een laadsessie en komt in plaats daarvan op een pagina terecht die om je betaalgegevens vraagt. De aanpak is overal identiek, alleen de locatie verschilt.
Welke gemeenten al waarschuwden
Den Haag ontdekte de stickers op parkeerautomaten in Scheveningen en waarschuwt dat de gemeente zelf helemaal geen QR-codes als betaalmethode gebruikt. Ook bij laadpalen voor elektrische auto's zijn vergelijkbare valse codes aangetroffen. Rijswijk, Rotterdam, Vlissingen, Veere, Alphen aan den Rijn en Amsterdam volgden met eigen meldingen, en in Maastricht vond de gemeentelijke handhaving stickers op twintig automaten tegelijk. Over de grens meldden Mechelen en Ieper in België dezelfde werkwijze.
Wat opvalt: dit is geen incident van één stad. De schaal waarop dezelfde sticker-truc in meerdere gemeenten opduikt, wijst op een georganiseerde aanpak, waarbij dezelfde daders waarschijnlijk tientallen locaties achter elkaar afgaan.
Waarom QR-codes zo makkelijk te misbruiken zijn
Een QR-code toont geen leesbare link voordat je scant. Je ziet dus niet of je naar easypark.nl gaat of naar een domein dat daar toevallig op lijkt, zoals easypark-betalen.com. Bij een gewone link in een mail of sms kun je nog met je muis boven de tekst hangen om de echte bestemming te zien. Bij een QR-code ontbreekt die stap helemaal, en dat is precies waarom criminelen massaal overstappen van sms-phishing naar stickers in de openbare ruimte.
Diezelfde kwetsbaarheid zie je terug bij browserextensies die zich voordoen als handige hulpmiddelen. Wil je weten hoe dat mechanisme bij een recente passkey-kwetsbaarheid werkte, lees dan ons artikel over de browserextensie die je passkey in gevaar brengt. Het patroon is steeds hetzelfde: vertrouwen in een bekend uiterlijk, zonder dat je de werkelijke bestemming checkt.
Zo herken je een valse QR-code
Een paar simpele checks voorkomen de meeste schade:
- Kijk of de sticker los zit of over iets anders heen geplakt is. Officiële codes zitten vast ingebouwd in het scherm of de behuizing, niet op een los stickertje.
- Check de domeinnaam voordat je iets invult. Je telefoon toont de link meestal even voordat de pagina opent. Klopt het domein niet met de bekende parkeerapp, scan dan niet door.
- Betaal liever met je bankpas direct in de automaat of via de officiële app die je zelf uit de appstore hebt gedownload, niet via een scan onderweg.
- Twijfel je toch? Bel de gemeente of check de website van de parkeeraanbieder zelf in plaats van op de sticker te vertrouwen.
Deze voorzichtigheid geldt trouwens breder dan alleen parkeerautomaten. Ook e-mailverkeer met neppe updatemeldingen verdient een kritische blik, zoals we eerder beschreven in ons artikel over de Chrome-update met 247 lekken: controleer altijd via de officiële weg, niet via een link die naar je toe komt.
Wat je doet als je al hebt gescand en betaald
Heb je toch je kaartgegevens ingevuld op een valse pagina, dan is snelheid belangrijk. Bel direct je bank om de kaart te blokkeren, ook als je nog geen onterechte afschrijving ziet. Doe daarna aangifte bij de politie en meld het incident bij de Fraudehelpdesk, zodat ook andere slachtoffers sneller geholpen kunnen worden. Meld de sticker ook bij de gemeente zelf. Den Haag doet dat bijvoorbeeld via het algemene nummer 14070, en andere gemeenten hebben vergelijkbare meldpunten op hun eigen website, zoals te lezen is in de officiële waarschuwing van de gemeente Den Haag.
Voor je algemene digitale veiligheid is het ook geen slecht moment om je basis op orde te brengen. In dit artikel over je gegevens online veilig houden staan praktische stappen die ook helpen tegen dit soort scams.
De volgende keer dat je een parkeerautomaat tegenkomt met een los stickertje erop, is een paar seconden extra checken al genoeg om een vervelende verrassing op je bankafschrift te voorkomen.