Svindlerne har fundet et hul i din antivirus: QR-koden ser den aldrig

En sort-hvid firkant på et parkometer, en menu på et cafébord eller en pakkeseddel i postkassen. Ingen af de tre steder tænker du typisk på, at nogen kan svindle dig. Men det er præcis den refleks, som cyberkriminelle nu udnytter i et omfang, der har fået både FBI og europæiske sikkerhedsfirmaer til at slå alarm.

Antallet af såkaldte quishing-angreb, phishing skjult inde i en QR-kode, steg 146 procent i første kvartal af 2026 ifølge en ny Microsoft-undersøgelse, og alene i marts blev der registreret cirka 18,7 millioner tilfælde af den nye angrebsform. Sikkerhedsfirmaet ESET har målt, at omkring 11 procent af alle phishing-mails i første halvår af 2026 indeholdt en QR-kode. Det er den højeste andel firmaet nogensinde har målt.

Tesen er enkel: din antivirus læser tekst, ikke billeder. En QR-kode er teknisk set et billede, og webadressen ligger indkodet i pixel-mønsteret. Når mailen rammer indbakken, ser filteret et neutralt grafisk element uden et link at inspicere. Angrebet sker først, når du løfter telefonen og lader kameraet oversætte firkanten til en URL.

Derfor slipper de forbi filtrene

Sikkerhedsforskerne bag den nyeste ESET-analyse forklarer, at destinationen “er kodet ind i et visuelt mønster, ikke vist som læselig tekst”, og at traditionelle e-mailfiltre derfor ikke kan udtrække og inspicere den skjulte adresse. Effekten forstærkes af, at scanningen næsten altid sker på en privat telefon, hvor arbejdsgiverens sikkerhedsværktøjer ikke rækker ind.

Sikkerhedsvirksomheden Mimecast beskriver hullet lige så direkte: mange e-mail-sikkerhedsprogrammer er “historisk set ikke udstyret til at scanne QR-koder”, og en scanning kan derfor føre til “det samme potentielt ødelæggende cyberangreb”, som hvis brugeren havde klikket på et almindeligt phishing-link.

Proofpoint har dokumenteret et ekstra trick: mange af de falske landingssider bruger en almindelig CAPTCHA i indgangen. Menneskeverificeringen gør det “næsten umuligt for andre e-mail-sikkerhedsløsninger at opdage” det egentlige indhold, fordi automatiske sandkasser ikke kan klikke sig igennem den. Kombinationen af QR-kode og CAPTCHA er blevet en næsten skudsikker vej forbi de fleste virksomhedsfiltre.

Security Boulevard, der syndikerer Acronis’ analyser, betegner samlet set QR-koden som det nye 2026-blindfelt for Secure Email Gateways, den generation af filtre, som virksomheder har brugt millioner på at implementere.

Nordkorea kastede benzin på bålet

Det er ikke kun løsagtige svindlere, der har opdaget metoden. FBI udsendte den 8. januar 2026 en officiel FLASH-advarsel om, at den nordkoreanske hackergruppe Kimsuky nu bruger ondsindede QR-koder mod tænketanke, universiteter og myndigheder i både USA og udlandet.

Ifølge FBI-dokumentet, som er refereret i detaljer af The Hacker News, har Kimsuky brugt teknikken “flere gange i maj og juni 2025” og har i flere tilfælde kunnet stjæle session-tokens og genafspille dem. Det giver angriberen adgang uden om totrinsbekræftelse, “uden at udløse typiske MFA-fejl-alarmer”, som FBI formulerer det. Sikkerhedsmyndigheden konkluderer, at metoden nu betragtes som en “MFA-modstandsdygtig identitets-indbrudsvektor”.

Oversat til dansk: hackerne kommer forbi din SMS-kode eller din authenticator-app, fordi de ikke stjæler passwordet, men den aktive session. Og de gør det på din private mobil, hvor virksomhedens overvågning ikke findes.

Fem hverdagsscener hvor du bliver ramt

De økonomisk tungeste angreb rammer ikke i din indbakke, men på gaden.

Parkometret. Amerikansk politi opdagede allerede i sommeren 2024 fænomenet, da der blev fundet falske QR-klistermærker på omkring 150 parkometre alene i Redondo Beach i Californien. Metoden er billig og skalerbar: et vejrbestandigt klistermærke printes på fem sekunder og klistres over den ægte kode. Bilisten scanner, betaler til det, der ligner den kommunale parkerings-app, og opdager først bedrageriet, når kortoplysningerne dukker op andre steder. I 2026 er metoden nået Danmark, hvor falske QR-koder ved elbil-ladere, camperpladser og parkeringsautomater er blevet så udbredte, at flere sikkerhedseksperter direkte fraråder at scanne koder, hvis de sidder som klistermærker eller virker påklistrede.

Restauranten. En falsk kode, der ser identisk ud med den ægte, kan skjule sig midt på menukortet eller borddisplayet. Home Exchange rapporterer, at Miami, Dallas, Seattle og Philadelphia er de fire hårdest ramte byer i USA, netop fordi turister uden lokalkendskab har svært ved at genkende, hvordan en officiel betalingsside skal se ud.

Hotellet og lufthavnen. Samme rapport beskriver, at hotellernes check-in-skranker, room service-menuer, lufthavnenes gate-skærme og selv parkeringsterminaler nu er blandt de mest udnyttede angrebsflader.

Pakkesedlen. Falske QR-koder i pakkeleverance-sedler eller “ubetalt told”-breve dukker op i postkasser over hele Norden. Danske Bank og PostNord er blandt de mest kopierede afsendere i den danske variant, som Trend tidligere har beskrevet i en gennemgang af de synlige advarselstegn.

Den falske MobilePay-verifikation. I januar 2026 blev over 1.000 danskere ofre for en enkelt kampagne, hvor svindlere via SMS og mail bad brugerne om at “verificere kontoen med MitID” for at leve op til nye PSD2-krav. Kampagnen brugte både falske links og QR-koder, og de stjålne oplysninger (CPR-nummer, kortdata og MitID-bekræftelse) blev efterfølgende solgt videre som såkaldte fullz-pakker.

Fælles for scenerne er, at ingen af dem kræver nogen teknisk snilde af angriberen. Et klistermærke og en klonet loginside er nok.

Hvem bliver ramt hårdest

I modsætning til den klassiske phishing er quishing bemærkelsesværdigt målrettet mobilbrugerne. Sammenstillede tal fra analysehuset Keepnet Labs viser, at 68 procent af alle quishing-angreb i 2025 specifikt sigtede efter mobiltelefoner, og at C-level-ledere blev ofre 40 gange oftere end almindelige medarbejdere. Samme opsummering angiver, at 73 procent af brugerne scanner QR-koder uden først at verificere destinationen, og at det gennemsnitlige tab for en virksomhed ligger over 1 million dollar per hændelse, cirka 7 millioner danske kroner.

For privatpersoner er tabene mindre, men mere hyppige. Tallene fra USA peger på et gennemsnitligt tab i omegnen af 1.225 dollar per snydt bilist eller cafégæst, cirka 8.500 kroner efter kursen i sommeren 2026.

Fem konkrete måder at beskytte dig

1. Tast selv adressen ind. Skal du betale for parkering eller opladning, gå i den officielle app, ikke via en QR-kode på selve stativet. Det er den ene disciplin, sikkerhedsbranchen samstemmende anbefaler.

2. Kig efter klistermærket over klistermærket. Er QR-koden let hævet, skæv eller placeret uden om den øvrige grafik, er der stor sandsynlighed for, at nogen har limet en falsk oven på den ægte. Ved den mindste tvivl: lad være.

3. Læs URL’en før du åbner den. De fleste moderne kameraer viser destinationen som et pop-up, før siden loader. Ligner adressen en officiel side, men med et ekstra bogstav eller en anden endelse (mobiiepay.dk.online.xyz), skal du lukke straks.

4. Slå phishing-resistent to-faktor til. Passkeys binder logins til den enhed, du fysisk sidder på, og gør stjålne session-tokens langt mindre nyttige for angriberen. En kort gennemgang af, hvad passkeys kræver af dig i 2026, er blevet mere aktuel.

5. Betragt uopfordrede QR-koder som spam. SMS, mail, printet post: alt hvor du ikke selv har bedt om koden, skal behandles med samme mistro som en ukendt vedhæftet fil. Reelle myndigheder og banker beder aldrig om MitID via en scannet kode.

QR-koden var oprindeligt tænkt som en genvej. I 2026 er den blevet en indgang, som svindlerne betaler mindre end et klistermærke for at åbne, og som de fleste af os stadig stoler blindt på.