QR-kode-svindel (quishing): Slik avslører du falske koder

Hva er quishing?

Quishing er et teleskopord av «QR» og «phishing»: Svindlere får deg til å skanne en kode som åpner en svindelside i stedet for den ekte tjenesten. Falske koder er funnet på alt fra ladestasjoner og plakater til falske skattemeldinger og menyer på utesteder³.

Metoden har en stor fordel for svindlerne: Mange spamfiltre dekoder ikke informasjonen i QR-koder, så svindelforsøk skjult i en kode slipper oftere fram enn vanlige phishing-lenker i e-post^1,4.

Skjer dette i Norge?

Ja. I Kristiansand oppdaget parkeringsvakter klistrede QR-koder på parkeringsautomater som sendte folk til en falsk side som utga seg for å være EasyPark. Kommunen fjernet over 20 klistremerker samme dag saken ble oppdaget, og til sammen ble det funnet falske koder på 30 automater i 2025^2,5. Nye merker ble satt opp selv etter at saken var kjent, og i juni 2026 ryddet kommunen falske koder – av en «ny type» – fra åtte automater^2,5.

Datatilsynet har ikke indikasjoner på at falske QR-koder har stort volum i Norge, men oppfordrer alle til å være ekstra merksomme ved skanning⁶. Kristiansand kommune har valgt å ikke bruke QR-koder på sine parkeringsautomater nettopp fordi slike koder enkelt kan forfalskes².

Svindlere bruker også QR-koder i e-post og SMS som utgir seg for å komme fra Skatteetaten. Husk: Skatteetaten sender aldri lenker i SMS eller e-post – slike meldinger er laget for å stjele BankID eller personopplysninger⁷.

Hvordan avslører du en falsk QR-kode?

• QR-koden er et klistremerke limt over eller på siden av den opprinnelige skiltingen, sitter skjevt eller ser ut som en «etikett»⁸.
• Koden sitter på et uvant sted på parkeringsautomaten⁸.
• Nettsiden som åpnes ber om registreringsnummer, parkeringstid og betaling, men er ikke parkeringsselskapets offisielle side².
• E-post med QR-kode i stedet for klikkbar lenke – typisk quishing-angrep⁴.
• Meldingen truer med gebyrer eller inkasso hvis du ikke logger inn via koden⁸.
• Noen ber om passord, PIN-koder, BankID eller kortdetaljer via SMS, telefon, chat eller e-post – seriøse aktører som EasyPark gjør aldri dette⁸.

Slik gjør du det trygt – steg for steg

1. Stopp, tenk og sjekk før du skanner – Sparebanken Norges klare råd^3,5.
2. Les URL-adressen som dukker opp på skjermen før du trykker deg videre. Er det ikke avsenderens ekte nettadresse, ikke trykk^6,9.
3. Ved parkeringsautomat: Ikke skann QR-koder som er klistret på. Åpne heller appen selv (f.eks. EasyPark, ParkLink eller kommunens parkeringsapp) og skriv inn sonenummeret manuelt^2,8.
4. Kjenn på koden: Skrap forsiktig på hjørnet – er det et løst klistremerke, ikke skann⁸.
5. Er du usikker: Søk opp avsenderens offisielle nettside selv, og bruk den innloggingen du vanligvis bruker^7,9.
6. Avbryt betalingen umiddelbart hvis du blir sendt til en ukjent nettside².

Ekte eller falsk parkerings-QR?

Kristiansand kommune anbefaler appen Parkering Kristiansand, eller EasyPark og ParkLink, ved parkering i sentrum². EasyPark har advart kundene mot falske QR-koder og svindel-e-poster på nettsidene sine i halvannet år^6,8.

Har du skannet en falsk kode?

Bare skanningen er ikke farlig i seg selv – men har du lagt inn kort- eller innloggingsdata på en mistenkelig side, må du handle raskt:

1. Kontakt banken umiddelbart for å stoppe betalinger og sperre kortet¹⁰.
2. Endre passord – også på tjenester der du bruker samme passord^8,10.
3. Anmeld saken til politiet – og reklamér til banken/kortutsteder for å kreve tapte beløp refundert¹⁰.
4. Fant du en mistenkelig kode på en parkeringsautomat? Varsle politiet og kommunen eller parkeringsselskapet som eier automaten, slik at klistremerket fjernes^2,8.

Vil du sjekke en mistenkelig melding eller lenke, kan du bruke vår sjekkliste for lenker og verktøyet for SMS og e-post. Har du allerede klikket deg videre, viser denne veiledningen hvordan du begrenser skaden, og slik anmelder du svindel til politiet. Selve teknikken er beslektet med phishing og spoofing, og svindel via SMS og e-post med falske fakturaer har vi dekket i guiden om fakturasvindel.

Vanlige misforståelser

En QR-kode kan virke tryggere fordi den ser fysisk ut, men skanning er i praksis det samme som å klikke på en lenke – og spamfiltre fanger ofte ikke svindelen som er skjult i koden^1,4.

Nasjonale tall over antall quishing-tilfeller eller tapte beløp i Norge finnes ikke i kildene – Datatilsynet sier kun at volumet så langt ikke er stort⁶. Det er heller ikke oppgitt hvor mange som ble lurt i Kristiansand-sakene; kommunen opplyste at de ikke hadde fått henvendelser fra personer som var blitt lurt, per 2025⁵.

Fant du en feil? Skriv til info@nyhetsvinkel.org. Se slik jobber vi.