Deze vakantietruc met QR-codes kan je ongemerkt veel geld kosten

woensdag, 12 augustus 2026 om 10:26

QR-codes zijn op vakantie handig voor parkeren, een menukaart, wifi of tickets. Maar juist op drukke toeristische plekken kunnen oplichters een echte code vervangen door een sticker met een valse QR-code: quishing, oftewel phishing via QR-codes.

Scan jij QR-codes op vakantie?

Een tafeltje op een zonnig terras, een parkeerautomaat bij het strand of een aanbieding voor excursies: steeds vaker hoef je alleen even een QR-code te scannen. Handig, maar niet zonder risico. Criminelen spelen erop in met quishing — een samentrekking van QR-code en phishing.

De truc is simpel. De fraudeur plakt bijvoorbeeld een sticker met zijn eigen QR-code over een bestaande code op een parkeerzuil, menukaart, poster of laadpaal. Wie scant, komt niet op de website van het restaurant, de gemeente of de parkeerexploitant terecht, maar op een nagemaakte betaal- of inlogpagina. Daar kunnen bankgegevens, wachtwoorden of geld worden buitgemaakt. De Nederlandse politie waarschuwt specifiek voor fraude met QR-codes bij onder meer parkeergarages.

Waarom vakantiegangers kwetsbaar zijn

Op reis staan we minder stil bij digitale veiligheid. Je wilt snel betalen, een museumticket openen of de wifi van je accommodatie gebruiken. Bovendien ziet een QR-code er neutraal uit: je kunt er niet direct aan zien naar welke website hij leidt.

Dat is precies de kracht van quishing. Bij een gewone phishingmail kan een verdachte link opvallen. Een QR-code verbergt de bestemming tot het moment dat je hem scant. Fraudeurs sturen de codes ook rond via e-mail, sms en WhatsApp, vaak met een geloofwaardig verhaal over een rekening, verkeersboete of noodzakelijke betaling.

Zo herken je een verdachte code

Let vooral op deze signalen:

De QR-code is een losse sticker, zit scheef of lijkt over een andere code heen geplakt.
Je wordt onverwacht gevraagd direct te betalen, in te loggen of bankgegevens in te vullen.
De boodschap zet je onder druk: “betaal vandaag”, “voorkom een boete” of “bevestig nu”.
Na het scannen wijkt het webadres af van de officiële naam van het bedrijf of de instantie.
Een aanbieding is uitzonderlijk goedkoop of klinkt te mooi om waar te zijn.
De code komt in een onverwachte e-mail, sms of WhatsApp van een onbekende afzender.

Een QR-code voor een parkeerbetaling hoort bijvoorbeeld naar de bekende website of app van de parkeerpartij te leiden — niet naar een vreemd domein met spelfouten of een onlogische naam.

Zo voorkom je quishing

Behandel een QR-code als een link: vertrouw je de bron niet, scan dan niet. Controleer na het scannen altijd eerst de volledige URL die de camera-app toont, vóór je de pagina opent. Is het webadres onbekend of wijkt het net af van de officiële naam? Sluit de pagina dan meteen.

Nog veiliger:

Betaal parkeren of een ticket via de officiële app of door zelf de website in te typen.
Vraag bij een restaurant, hotel of attractie of de QR-code echt van hen is.
Vul nooit zomaar inlog-, bank- of creditcardgegevens in op een pagina die via een QR-code opent.
Download geen app of bestand omdat een QR-code daarom vraagt.
Gebruik bij twijfel het telefoonnummer of webadres dat je zelf opzoekt, niet de contactgegevens op het verdachte bericht.

Toch gescand of betaald?

Alleen scannen betekent niet automatisch dat je bent opgelicht. Het gevaar ontstaat vooral wanneer je daarna gegevens invult, een betaling doet of software installeert. Heb je bankgegevens of een wachtwoord ingevuld, verander dan direct je wachtwoord — zeker als je het op meerdere plekken gebruikt — en neem onmiddellijk contact op met je bank. Meld verdachte fraude ook bij de politie.

De vakantie-regel is dus eenvoudig: een QR-code mag gemak bieden, maar nooit haast. Even de link controleren kost seconden; een frauduleuze betaling terugdraaien kan veel meer gedoe opleveren.