Jesper Bengtson
Kommer der pludselig en pakke med en telefon eller anden dyr elektronik, du aldrig har bestilt, er der én ting du under ingen omstændigheder skal gøre.
Du må ikke scanne QR-koden der ligger i eller på pakken. Det er kernen i den advarsel, FBI udsendte sidste sommer, efter en gammel svindeltype har fået en langt farligere afart.
Fænomenet kaldes brushing, og i sin oprindelige form handler det om, at online-sælgere sender billige varer til tilfældige adresser for selv at kunne skrive falske “verificerede” anmeldelser i modtagerens navn. Formålet er at pumpe et produkts stjerner op på markedspladser som Amazon og eBay. En sælger opfører en handel med dig som køber, betaler selv, og bruger så din adresse som bevis på at handlen fandt sted.
Den nye variant er markant mere aggressiv. Her ligger der en QR-kode i pakken, nogle gange præsenteret som “scan for at se hvem der har sendt gaven” eller “scan for at returnere”. Scanner du, ledes du videre til en falsk login-side, et falsk betalingsvindue eller direkte til en download af data-tyvende malware.
FBI advarer om QR-koder i pakker
Det amerikanske forbundspoliti FBI udsendte 31. juli 2025 en formel offentlig advarsel om netop denne udvikling. I meddelelsen fra Internet Crime Complaint Center (IC3) beskrives det, hvordan kriminelle sender pakker uden afsenderoplysninger for at friste modtageren til at scanne koden af nysgerrighed.
Konsekvensen kan være, at man bliver ført til en falsk hjemmeside der beder om personlige og økonomiske oplysninger, eller at der downloades software som stjæler data fra telefonen. FBI’s råd er kortfattet: scan ikke QR-koder fra ukendte kilder, og vær særligt opmærksom på pakker uden afsender.
Sådan bør du reagere
De praktiske trin ved en uanmodet pakke er ret enkle, og de anbefales stort set enslydende af FBI og af private sikkerhedsfirmaer som Keeper Security, der opdaterede sin vejledning 3. april 2025. Sikkerhedsfirmaet Malwarebytes giver samme grundråd i sin gennemgang af brushing:
- Scan ikke QR-koder på eller i pakken.
- Kontakt den markedsplads eller det firma, der står som afsender, og meld pakken som uanmodet. Amazon har fx en dedikeret side til brushing-sager.
- Skift adgangskoder på dine vigtigste konti, og slå to-faktor-godkendelse til, hvis du ikke allerede har det. Din adresse er tydeligvis kommet på afveje, og andre oplysninger kan følge med.
- Hold øje med bank- og kortudtog i ugerne efter, og overvej en overvågning af din kreditrapport.
Ifølge amerikansk forbrugerret må modtageren juridisk beholde, kassere eller returnere en uanmodet pakke. I Danmark gælder samme grundprincip: du har ingen betalingsforpligtelse for varer, du ikke har bestilt, og du kan roligt skille dig af med dem.
Er der ingen QR-kode i pakken, bare en billig gadget du ikke kan bruge, er sagen mildere. Så handler det primært om, at nogen har misbrugt din adresse til falske anmeldelser, og skaden er begrænset til dine data og markedspladsens troværdighed.
Mistænker du at være ramt af QR-varianten, kan sagen anmeldes via politiets anmeldelsesportal for it-relateret kriminalitet på anmeld.politi.dk.
