Valse QR-codes op laadpalen: energiebedrijf EnergyVision waarschuwt voor nieuwe vorm van "quishing"

EnergyVision bindt de kat de bel aan met een video op LinkedIn die toont hoe fraudeurs het op bestuurders van elektrische wagens in Brussel hebben gemunt. Die kunnen een laadbeurt aan een laadpaal betalen met een laadpas, maar ook met een ad-hocbetaling door een QR-code op zo'n paal te scannen.

Oplichters kleven op sommige palen een sticker met een eigen, vervalste QR-code bovenop die van EnergyVision. Wie die scant, komt terecht op een betaalsite van de oplichters en betaalt zo nietsvermoedend aan hen in plaats van aan het energiebedrijf.

Nadat het probleem was ontdekt, heeft EnergyVision alle 2.000 palen die het in Brussel aanbiedt gecontroleerd. Op 20 palen zijn frauduleuze stickers gevonden, vertelt CEO Maarten Michielssens. “Die stickers zijn intussen verwijderd en de website van de fraudeur is offline gehaald. Onze klanten kunnen dus opnieuw ad hoc hun auto opladen. Niet omdat we dat willen, maar omdat we dat moeten.”

Michielssens verwijst daarmee naar de Europese verplichting voor uitbaters van laadpalen om ook betalingen zonder laadpas aan te bieden. Dat moet de toegankelijkheid vergroten, maar het maakt klanten van bedrijven zoals EnergyVision dus ook kwetsbaarder voor fraude.

Cyberexpert Eddy Willems (GDATA) benadrukt dat dit zogenoemde fenomeen van quishing, phishing via QR-codes, niet nieuw is. “Het is een oud principe dat nu opnieuw voorkomt”, vertelt hij in De wereld vandaag op Radio 1. “Fraudeurs maken misbruik van een kleine groep mensen die de batterij van hun auto opladen via een QR-code.”

De overgrote meerderheid van de bestuurders hoeft niet te scannen, omdat ze werken met een laadpas. “Het probleem is inderdaad dat men de ad-hocoptie moet aanbieden, op basis van die Europese richtlijn. Daar iets aan doen, is heel moeilijk. Betalen met een laadpas blijft uiteindelijk wel de veiligere optie.”

Wie per ongeluk toch een valse QR-code scant, zou dat in principe snel moeten merken, zegt Willems. “Je zou kunnen controleren of de website waarop je terechtkomt ook die van de exploitant is. Daarnaast is de betaalmethode interessant: heb je die in het verleden al gebruikt? Of is het een andere? Dat kan ook al een teken zijn, net als foutmeldingen en doorverwijzingen.”

En als het dan toch nog mis gaat? “Contacteer de exploitant, contacteer je bank en contacteer ook de politie. Dan kan zeker worden opgetreden.”