QR-kode svindel: Ny trussel mod elbil-ejere og campister
QR-koder gør betalinger og information hurtige og praktiske – men netop deres enkelhed gør dem attraktive for svindlere.
På pladser til autocampere og el-ladestandere ser vi en stigende brug af falske eller udskiftede QR-koder, der leder brugeren videre til abonnementssider eller til phishing-sider, hvor kortoplysninger eller endda MitID-godkendelser bliver misbrugt. Ejere af parkerings- og ladefaciliteter har derfor et ansvar for både teknisk beskyttelse og løbende fysisk kontrol.
Flere eksempler viser, at domæner som bundlehd.com, qwiplay.com og ecomprobook.com ofte figurerer i sager, hvor forbrugere efterfølgende ser små tilbagevendende afgifter fra ukendte abonnementstjenester. Disse domæner er genstand for advarsler og rapporter fra online-sikkerhedsværktøjer.
Vi har udarbejdet en tjekliste til ejere og driftspersonale, der ønsker at sikre QR-koder mod manipulation. Download den herunder:
Hvordan QR-kode svindel typisk foregår
- Fysisk udskiftning: En ægte QR-kode på en ladestander eller skilt bliver dækket af en falsk QR-etiket. Brugeren scanner den falske kode og ledes til et websted, der beder om betaling eller oprettelse af “konto”.
- Visuel manipulation: En falsk side efterligner et legitimt betalingsflow (fx “betal for opladning”), men er designet til at få dig til at indtaste kortoplysninger eller godkende en betaling.
- Abonnementstrick: Brugeren lokkes til at “bekræfte” en gratis prøve eller et lille engangsbeløb – i praksis aktiveres et abonnementsopkrævning hvor små beløb trækkes gentagne gange. Undersøgelser og brugerrapporter viser, at abonnementer på ca. 3 euro ofte anvendes, fordi de er små nok til at passere uden øjeblikkelig alarm.
- Misbrug af MitID / legitimationsgodkendelse: I nogle sager bliver brugere manipuleret til at godkende noget med MitID under falske præmisser (fx “bekræft identitet for at starte opladning”). Selv om MitID-godkendelsen blev givet, kan handlingen være ugyldig, fordi samtykket var opnået ved svindel — forbrugeren skal derfor straks gøre indsigelse og kontakte bank/politi. Det officielle MitID-materiale advarer om phishing og falske anmodninger om godkendelse.
Reelle advarsler og rapporter
Danske medier og forbrugerorganisationer har meldt om lignende angreb på ladestandere, og flere rådgivere anbefaler forsigtighed med betaling via QR-koder ved offentlige ladestandere. FDM fraråder fx at betale via QR-koder ved ladestandere og anbefaler at bruge den officielle app eller direkte hjemmeside for udbyderen. Der findes også online-sider der analyserer om nævnte domæner er risikable eller rapporteret af brugere.
Særligt om domænerne CyberNordic har observeret
Hvad bør ejere af autocamperpladser og el-ladepladser gøre?
Etabler en fast, ugentlig kontrolrutine, så I både forebygger og hurtigt opdager manipulationer. Her er en praktisk tjekliste ejere kan implementere:
Ugentlig fysisk kontrol (minimum)
- Visuel inspektion af alle QR-koder: Sammenlign med en gemt original (fx én original pr. enhed) – tjek papirtype, overflade, udskriftkvalitet og om en kode er limet udenpå en anden.
- Fotodokumentation: Tag et foto af hver QR-kode ved kontrollens start (tidsstemplet billede). Gem billederne i en log (fx cloud-mappe med versionshistorik).
- Tjek for løse etiketter / klistermærker: Prøv forsigtigt at løfte et hjørne (vedligeholdelsesprocedure) for at se, om nogen har sat et klistermærke over den oprindelige kode.
- Kontroller sikkerhedsforsegling, der afslører brud: Hvis I bruger sikkerhedsforsegling, der afslører brud, gennemgå forseglingerne. Udskift ved øjeblikkelig skade.
- Sammenlign linkadressen: Scan koden med en sikker QR-scanner-app som viser destinationens URL (uden at åbne siden). Bekræft, at domænet matcher jeres officielle leverandør eller betalingssystem.
- Opdateringslog: Notér dato, tidspunkt, hvem der kontrollerede, og eventuelle afvigelser i en kontroljournal.
Ugentlig digital kontrol (minimum)
- URL- og redirect-check: Brug en web-tjeneste til at indtaste QR-URL’en (eller brug en sikker browser sandbox) for at se redirect-kæden og endelig destination – undgå at godkende noget ved denne test.
- SSL/TLS-validering: Bekræft, at destinationen bruger gyldig HTTPS-certifikat – men husk, HTTPS alene er ikke garanti mod svindel.
- Domæneovervågning: Opsæt alerts for, hvis nogen lister betalings-URL’er ikke på jeres domæne (f.eks. via simple overvågningsværktøjer).
- Kontogennemgang: Gennemgå jeres egne betalings- og driftssystemlogs for uautoriserede ændringer i tekster, links eller app-integrationer.
Kommunikation og kundehåndtering (ugentligt)
- Skiltning: Sæt synlig info ved standeren: “Scan kun QR-koder på denne skærm” / “Har du mistanke – kontakt telefon/e-mail”.
- Personaleinstruktioner: Uddan rengøring/vedligeholdelsespersonale til at rapportere klistermærker eller ændringer med det samme.
- Check af tredjepartssider: Gennemgå referencer til jeres betalingsservice og opdater officielle links på hjemmeside og skilte.
Teknisk forebyggelse (langsigtet)
- Brug statiske QR-koder med server-validering: Opret QR-koder som peger på jeres eget domæne, og lad jeres server redirecte til betalingspartneren med en unik, kortvarig token, så skadelig udskiftning ikke uden videre kan ændre destinationen.
- Hård autentifikation i betalingflowet: Hvis I tilbyder betaling via QR, kræv, at betalingsflowets endelige autorisation foregår gennem velkendte betalingspartnere eller via app-til-app handoff (fx officielt betalings-API), ikke via tredjepartssider I ikke kontrollerer.
- Tamper-evident materialer: Brug laminat, holografiske forseglinger eller selvdestruerende etiketter, der viser tydelig manipulation.
- Overvågning & alarmer: Opsæt overvågning på alle redirects og på ændringer i jeres statiske filer så I hurtigt opdager token- eller link-ændringer.
Hvad bør forbrugere (brugere af pladserne) gøre i tilfælde af mistanke eller skade
- Stop og tag foto af den falske QR-kode og hele standeren/omgivelserne. Gem screenshot af betalingsflowet.
- Undlad at godkende eller indtaste MitID/kort hvis siden virker mistænkelig. Hvis MitID allerede er brugt under falske præmisser: indgiv indsigelse straks – MitID selv anviser, hvordan man rapporterer phishing, og politiet anbefaler at anmelde økonomisk internetkriminalitet.
- Tjek bankudtog for små tilbagevendende træk (fx omkring 3 euro) og søg efter navne som bundlehd.com, qwiplay.com, ecomprobook.com. Disse navne er rapporteret i forbindelse med abonnements-trick. Hvis du finder transaktioner, kontakt banken og indgiv indsigelse, da betaling/abonnement kan være opnået ved svig.
- Kontakt pladsens ejer med foto og tidspunkt, så ejeren kan fjerne falsk kode og advare andre.
- Anmeld til Politi og Forbrugercentral hvis du har mistet penge. Gem al dokumentation (screenshots, fotos, sms/e-mails).
Eksempel – et realistisk scenarie
En autocamper-ejer scanner en QR-kode ved en offentlig el-ladestander. QR-koden fører til en side, som præsenterer “betal for opladning” og tilbyder en billig “prøvemedlemskab” for 2,99 €. Brugeren indtaster kortoplysninger og godkender ved at trykke “Bekræft med MitID” – men MitID-godkendelsen blev opnået under falske forudsætninger. Efter få dage ser ejeren gentagne træk fra qwiplay.com og kontakter banken. Banken hjælper med at spærre fremtidige træk og instruerer ejeren i at anmelde sagen til politiet. Ejeren kontakter også pladsens operatør, der fjerner en klisteretiket og styrker deres ugentlige kontrolroutines. Dette scenarie stemmer overens med flere rapporter og ekspertråd om QR- og abonnementssvindel.
Hvad CyberNordic kan hjælpe med
- Sårbarhedsvurdering af betalingsflow: Vi gennemgår jeres QR-betalingsflow og server-side redirects for at fjerne svage punkter.
- Tamper-evident QR-etiketter: Vi hjælper med leverandørvalg og design af tamper-evident materialer og vedligeholdelsesrutiner.
- Overvågning og domæne-sikkerhed: Opsætning af overvågningsalarmer for uventede redirects, domænenavne og ændringer i jeres offentlige filer.
- Ugentlige kontrolskemaer & uddannelse: Vi leverer tilpassede tjeklister, logskabeloner og uddannelsesmateriale til personale, så I kan implementere de ugentlige rutiner effektivt.
- Reaktionsplan ved svindel: Skabeloner til kundekommunikation, anmeldelse til politiet, og procedure for bankindsigelser.