Falske QR-koder på parkeringsautomater og restauranter: Slik avslører du svindelen på sekunder

Metoden kalles quishing og er blant de raskest voksende svindelformene mot mobilbrukere. Du kan avsløre den på sekunder, hvis du vet hva du skal se etter.

I Kristiansand måtte parkeringsvaktene fjerne over 20 falske klistremerker fra automatene i sommer, og nye dukket stadig opp. Klistremerkene lignet EasyParks eget design, men førte til en betalingsside kontrollert av svindlerne. Leder for drift og vedlikehold Tor Stea i Kristiansand Parkering advarte offentlig mot metoden og opplyste at ingen enda hadde meldt om tap, men at selskapet vurderte politianmeldelse.

Fra parkering til restaurantbord

Angrepet fungerer overraskende enkelt: en oblat med en ny QR-kode limes rett over den originale på parkeringsautomaten, restaurantmenyen eller ladestasjonen. Skanner du koden, havner du på en side som ser ut som betalingstjenesten du forventer, men kort- og BankID-opplysningene sendes til en tredjepart.

Sparebanken Norge gikk i november 2025 ut med en advarsel om metoden. Antihvitvaskrådgiver Hans Jacob Fevang minnet om at nettadressen bak koden ikke er synlig før den er åpnet.

"Nå må vi lære oss å gjøre akkurat det samme med QR-koder – nettsiden du kommer til når du skanner en QR-kode kan være svindel," sa Fevang i meldingen.

Banken peker på at falske koder også dukker opp på plakater, ladestasjoner og i annonser på bruktmarkeder som Tise og Facebook Marketplace, der en kjøper foreslår QR-betaling og lokker selgeren over på en falsk innloggingsside.

Fra marginalt fenomen til bred trussel

Utviklingen har gått raskt. QR-koder utgjorde 0,8 prosent av alle phishing-angrep i 2021, mens andelen økte til rundt 10,8 prosent i 2024, ifølge en gjennomgang fra sikkerhetsselskapet Keepnet Labs. Antallet QR-baserte phishing-eposter steg fra rundt 47.000 i august 2025 til over 249.000 i november samme år.

68 prosent av angrepene rettet seg mot mobilbrukere. Grunnen er ganske teknisk: mobiler har mindre skjerm, e-postfiltre skanner sjelden bildeinnholdet i en QR-kode, og brukeren flyttes fra en jobb-PC med sikkerhetsprogramvare til en privat telefon som ofte mangler tilsvarende beskyttelse.

Norske banker klarte likevel å stanse svindel for 1,5 milliarder kroner i første halvår av 2025, viser Finans Norges statusrapport fra april. Rapporten regner opp 17 aktive svindelformer for 2026, og QR-koder inngår som en av kanalene svindlerne bruker for å hente BankID-opplysninger og kortnummer.

Tre ting du bør sjekke før du skanner

Det finnes ingen automatisk teknisk beskyttelse mot falske QR-koder, og ansvaret havner hos brukeren. Ekspertene peker på tre enkle sjekker:

1. Se etter et klistremerke oppå den originale koden. På parkeringsautomater og restaurantmenyer skal koden være trykket direkte på flaten eller festet av eier. Er koden en oblat som sitter litt skjevt, kan skrapes av med en negl eller ligger oppå en annen trykk, la være å skanne.

2. Les nettadressen før du trykker. Moderne telefoner viser en forhåndsvisning av lenken før du åpner den. Sjekk at domenet er skrevet riktig, at det starter med https:// og at det stemmer med tjenesten du forventer. EasyPark bruker easypark.no, ikke easypark-betaling.com eller lignende varianter.

3. Vær ekstra skeptisk til betaling og innlogging. Skal du oppgi kortnummer eller BankID etter å ha skannet en kode, stopp. Åpne appen til betalingstjenesten direkte på telefonen i stedet, eller gå til leverandørens nettside via nettleseren. En ekte parkeringsleverandør vil aldri kreve BankID for en enkel timesbetaling.

Sparebanken Norges råd oppsummerer det kort: stopp opp, tenk deg om, og skann bare når du er sikker på hvem koden hører til.