Vertrouw een QR pas als die is vrijgegeven.

Quishing is QR-code phishing: een aanvaller drukt af, beplakt, mailt of stuurt een QR-code die bij het scannen een pagina voor het stelen van inloggegevens opent, een wallet-drainertransactie, een open WiFi-val of een Android-intent die malware sideloadt. De QR zelf is gewoon een afbeelding, dus e-mailfilters en browserwaarschuwingen zien hem nooit voordat de telefoon van het slachtoffer de bestemming al heeft geopend. De verdediging moet bij het scannen plaatsvinden, voordat de telefoon de link volgt.

Drie verschillen. De aanvalsvector is fysiek of visueel — een sticker over een parkeerautomaat-QR, een gedrukte flyer die een MFA-inschrijving imiteert, een restaurantmenu-QR die ’s nachts wordt vervangen — en omzeilt daardoor volledig e-mailgateways. Slachtoffers vertrouwen QR-codes meer dan links in e-mail; een QR voelt als een bestemming gekozen door degene die het oppervlak heeft afgedrukt. En dynamische QR-codes via een verkorter kunnen na verspreiding van het gedrukte materiaal worden doorgestuurd naar een phishingbestemming, waardoor een QR die bij het afdrukken veilig was, maanden later vijandig kan worden. Statische linkscanning beantwoordt „is deze URL momenteel kwaadaardig“, niet „wie kan wijzigen waar dit naartoe verwijst“.

Richt je telefoon niet met de native camera erop — dat opent de bestemming direct. Open in plaats daarvan check.qr.abundera.ai op je telefoon, scan de QR via de in-pagina camera (decodering gebeurt lokaal; de afbeelding verlaat je apparaat nooit) en lees het verdict. Wij lopen elke omleidingsstap na, classificeren of de bestemming door een derde partij na het afdrukken van de QR beheerd kan worden, en controleren de reputatie via Google Safe Browsing en andere aggregatoren. Vrijgegeven verdicts zijn veilig te openen; Let op en Niet doorgaan verdicts vertellen je waarom.

Parkeerautomaat- en EV-laderstickers die de legitieme QR bedekken met een die naar een pagina voor creditcardstelen verwijst — het meest gemelde patroon van 2024-2025, waargenomen in Austin, San Antonio en door heel het VK. Restaurantmenu-QR's die een nacht worden verwisseld naar phishingpagina's door een aanvaller die de tafeltent fysiek vervangt. Flyers voor MFA-inschrijving in kantoorbadkamers die er officieel uitzien maar het apparaat van de aanvaller inschrijven. Trouwuitnodigings-QR's verspreid maanden voor het evenement, waarbij een gecompromitteerd verkorteraccount een aanvaller in staat stelt duizenden gedrukte kaarten om te leiden. Crypto-betaling-QR's bij verkooppunten die worden overdekt met het walletadres van de aanvaller. De gemeenschappelijke draad: de gedrukte QR ziet er identiek uit aan de veilige.

Bestaande tools classificeren of een URL momenteel kwaadaardig is. Wij classificeren ook of de bestemming door een derde partij na het afdrukken van de QR beheerd kan worden — een eigenschap die we veranderbaarheid noemen. Een schone dynamische QR via een verkorter heeft nog steeds een hoog risico voor een parkeerautomaatsticker of trouwuitnodiging: de accounthouder van de verkorter kan de bestemming op elk moment wijzigen. We presenteren deze controlepositie als een eersteklas verdictsveld naast het dreigingsinhoudsverdikt.

Nee. De gedecodeerde payload gaat via HTTPS naar onze server zodat we de keten kunnen nalopen en reputatiedatabases kunnen raadplegen — een functionele noodzaak, geen keuze — maar wordt nooit opgeslagen. Verdicts worden gecached op basis van een SHA-256-hash van een per-payloadtype discriminator aaneengevoegd met een server-geheim salt. De oorspronkelijke payload kan niet worden gereconstrueerd uit een cacheitem.

qr.abundera.ai is een generator die alles-client-side belooft: niets verlaat je apparaat. Deze veiligheidscontrole stuurt de gedecodeerde payload uit noodzaak naar de server. We scheiden de twee oppervlakken zodat de client-only belofte schoon blijft op het generatordomein en het omgekeerde privacymodel oppervlak hier duidelijk gelabeld blijft.

Pro-tier. Dien een QR in voor tracking, en we lopen de keten periodiek opnieuw na. E-mail wanneer de omleidingsdoelen, eindbestemming of de set van operators van omleidingsdiensten wijzigt. Dit vangt het meest voorkomende quishing-patroon: druk een schone QR af, wissel de bestemming maanden later naar phishing en oogst scans van het gedrukte materiaal.

Ja, op de Pro-tier. De API is RESTful en retourneert een gestructureerd JSON-verdict met payloadtype, dreigingsklasse, veranderbaarheid, omleidingsketen, per-hop controleattributie en sub-payloadbevindingen. Ontworpen voor integratie in walletapps, mobiele beveiligingssystemen, bedrijfs-URL-filtering en Slack/Teams-linkvoorbeeldverrijkers.

Momenteel niet. De classifier is gesloten terwijl het onderliggende octrooiwerk in behandeling is. We publiceren mogelijk referentie-implementaties van bekendgemaakte algoritmen na verlening. Het API-contract is openbaar en stabiel.