Vad är quishing? Så fungerar de nya QR-kodsbedrägerierna

Vad är quishing?

Quishing är en sammanslagning av “QR” och “phishing”. Termen syftar på nätfiskeattacker där bedragare använder QR-koder för att lura människor till falska hemsidor eller ladda ner skadligt innehåll.  

Ofta presenteras offret en QR-kod som, när den skannas, leder till en falsk inloggningssida, betalningssida eller formulär där känslig information efterfrågas. 

Termen quishing är så pass ny och relevant att den togs med i Språkrådets nyordslista 2024. Anledningen till dess relevans är för att QR-koder blivit allt vanligare i vardagen – från restaurangmenyer och parkering till bankärenden. Vilket i sin tur tyvärr öppnat upp för nya typer av bedrägerier.

Läs även: Sms-Fiske: Så undviker du bedragare 

Vad är en QR-kod?

QR-koder, eller Quick Response-koder, är tvådimensionella streckkoder som skannas med en kamera eller en app för kodläsning. Deras främsta funktion är att lagra data. En QR-kod kan innehålla stora mängder information, till exempel webbadresser, produktuppgifter eller kontaktinformation. 

Tack vare skanningsteknik kan en smartphonekamera eller kodläsare snabbt leda användaren vidare till den hemsida som koden pekar mot.

Hur fungerar quishing?

Vid en quishing-attack skapar angriparen en QR-kod som länkas till en skadlig hemsida. Denna QR-kod sprids ofta via phishingmejl, inlägg i sociala medier, tryckta flygblad eller genom att placeras på fysiska objekt. 

När offret skannar QR-koden med sin mobiltelefon skickas de vidare till den skadliga hemsidan. Där kan de uppmanas att lämna ifrån sig känslig information, såsom inloggningsuppgifter, betalningskortsinformation eller personuppgifter. 

När informationen väl samlats in kan angriparna utnyttja den för olika syften – exempelvis identitetsstöld, ekonomiskt bedrägeri eller för att sprida ransomware.

Vad är ett exempel på quishing?

Föreställ dig att du får ett mejl eller ett brev om att ett paket väntar på dig. På meddelandet finns en QR-kod som du uppmanas att scanna för att boka om leveransen eller betala en mindre fraktavgift.

När du scannar koden skickas du till en falsk hemsida som ser ut att tillhöra PostNord, DHL eller en annan välkänd aktör. Där ombeds du logga in med BankID eller lämna dina kortuppgifter.

I själva verket går uppgifterna direkt till bedragaren, som sedan kan använda dem för att stjäla pengar eller ta över dina konton.

Andra vanliga exempel på quishing är:

• QR-koder i phishingmejl som påstår sig komma från Microsoft eller Google och ber dig logga in på ditt konto.

• QR-koder på affischer eller i reklam som leder till falska kampanjsidor.

• Manipulerade QR-koder på offentliga platser, till exempel parkeringsautomater, som leder till bedragarens betalsida i stället för den riktiga.
  

Vad är skillnaden mellan quishing och phishing? 

• Phishing är ett samlingsnamn för bedrägerier som lurar personer att lämna ifrån sig känslig information. Oftast sker det via mejl, sms eller falska hemsidor. 

• Quishing är en underkategori av phishing, där attacken sker via QR-koder.
  

Ökar quishing-attackerna i Sverige?

Ja, det finns tecken på en ökning av quishing-attacker i Sverige. Både bedräegeriexperter och Polisen har nyligen varnat för att QR-kodsbaserade bedrägerier ökat i omfattning. 

• I juli 2023 varnade Polisens nationella bedrägericenter för en ny våg av bedrägerier med QR-koder, särskilt i samband med falska bostadsannonser.
• Under 2025 har Polisen fortsatt varnat för quishing-attacker och allmänheten uppmanas till försiktighet. 
• Jan Olsson, bedrägeriexpert vid Nationellt it-brottscentrum, befarar att quishing kan bli ännu vanligare framöver i och med hur enkelt det är för bedragarna att skapa falska QR-koder. 
  

Risker med quishing

Att utsättas för quishing kan innebära flera allvarliga risker. Genom att känna till dessa ökar du samtidigt din förmåga att upptäcka och undvika försök till bedrägeri. Nedan går vi igenom de vanligaste och mest betydande riskerna.

1. Stöld av inloggningsuppgifter
   

När användaren scannar en manipulerad QR-kod och loggar in på en falsk sida kan angriparen komma över känsliga uppgifter som:

• BankID eller andra autentiseringsmetoder

• E-post- och företagskonton 

• Sociala mediekonton
  

2. Ekonomiska förluster
   

Bedragare kan få tillgång till dina kortuppgifter och bankkonton och därmed stjäla pengar från dina konton. 

Manipulerade QR-koder på exempelvis parkeringsautomater eller fakturor kan leda till att betalningen hamnar direkt hos bedragaren – och att du behöver betala påminnelsefakturor eller parkeringsböter. 

3. Identitetsstöld

Information som personnummer, adress eller inloggningar kan användas för att ta lån, beställa varor eller skapa falska profiler i ditt namn. 

4. Spridning av skadlig kod

QR-koder kan leda till hemsidor som laddar ned malware eller spyware på din enhet. Detta kan:

• Ge angriparen full åtkomst till filer och lösenord.

• Användas för att installera skadlig programvara som låser dina filer mot en lösensumma. 
  

Så skyddar du dig mot quishing

Så undviker du att gå i fällan – våra bästa tips mot quishing.

1. Var skeptisk mot QR-koder

Skanna aldrig QR-koder som du får oväntat via mejl, SMS eller sociala medier. Se på dem på samma sätt som du skulle göra med okända länkar. Om du får en QR-kod från någon du inte känner – stanna upp, fundera och kontrollera alltid länken innan du eventuellt agerar.

2. Granska vart koden leder
   

Om möjligt, förhandsgranska alltid webbadressen som QR-koden innehåller innan du öppnar sidan. Vissa mobilappar visar länken i klartext innan du klickar. 

Kontrollera att domänen verkligen tillhör den organisation du tror dig vara i kontakt med. Är du osäker, skriv in webbadressen manuellt i webbläsaren.

3. Använd säkerhetslösningar

Det finns QR-läsare med inbyggda säkerhetsfunktioner som kan varna för misstänkta länkar. Uppdaterade mobiltelefoner kan ibland också ge varningar om en länk ser osäker ut. 

Som ett extra skydd kan ID-skyddstjänster hjälpa dig att upptäcka om dina personuppgifter börjar missbrukas efter ett inträffat bedrägeri.

4. Lämna aldrig ut känslig information

Precis som vid annan form av nätfiske ska du aldrig lämna ut BankID-koder, kortuppgifter eller lösenord på hemsidor som du hamnat på via en QR-kod. Myndigheter och seriösa företag uppmanar sällan till inlogg via en QR-kod skickad i mejl eller SMS utan förvarning. 

Kom ihåg! – Använd aldrig BankID eller bankdosa på uppmaning av någon som kontaktar dig.

5. Tekniska skydd i banktjänster

Bankerna har infört nya tekniska skydd mot QR-bedrägerier. BankID har till exempel infört ”säker start” – vilket innebär att alla e-tjänster från 2024 måste auto-starta på samma enhet eller använda rörlig QR-kod i stället för en statisk. 

Den rörliga QR-koden förändras hela tiden, vilket gör det mycket svårare för bedragare att utnyttja en skärmdump eller kopia av koden. Denna åtgärd har redan minskat antalet bedrägerier markant.

6. Anmäl och sprid information
   

Om du blir utsatt för quishing ska du alltid polisanmäla och omedelbart kontakta din bank för att stoppa eventuella transaktioner. Myndigheter betonar också vikten av att sprida kunskap om bedrägerierna – både på arbetsplatser och i privatlivet. Ju fler som känner till riskerna, desto svårare blir det för bedragarna att lyckas.