Je staat bij een parkeerautomaat, ziet een QR-code en wilt snel verder. Eén scan later staat er een pagina op je telefoon die om geld of bankgegevens vraagt. Dat voelt als een normale stap bij mobiel betalen, maar de sticker kan door iemand anders op de automaat zijn geplakt. De Nederlandse politie waarschuwt voor zulke codes in parkeergarages. Ook de gemeente Amsterdam zegt uitdrukkelijk dat je op haar parkeerautomaten geen QR-code moet scannen. Het risico is concreet: je kunt betalen zonder dat je parkeeractie is geregeld, terwijl je gegevens bij een oplichter belanden.
Een QR-code is geen keurmerk. De blokjes kunnen simpelweg een webadres bevatten, net zoals een link in een bericht. De camera herkent dat adres en biedt aan de pagina te openen. Wie een andere sticker over een bestaande code plakt, verandert daardoor de bestemming zonder de automaat zelf te hacken. De politie noemt deze aanpak QR-phishing: de nagebouwde website kan om een betaling of inloggegevens vragen. De scan is dus niet automatisch een betaling, en alleen het openen van de pagina betekent niet meteen dat je geld kwijt bent.
Het probleem beperkt zich niet tot een parkeerautomaat. In België waarschuwt Safeonweb dat oplichters eigen codes over die van elektrische laadpunten plakken. In Nederland liet een andere zaak zien dat papier net zo geloofwaardig kan ogen: volgens de politie kregen klanten van ABN AMRO in juli 2025 aangetekende brieven met een QR-code die naar een nagebouwde bankomgeving leidde. Vijf jongeren werden destijds aangehouden op verdenking van phishing. Dat is een oud voorbeeld, geen nieuwe arrestatie; het laat zien dat een keurige plek of officiële verpakking niets zegt over de bestemming van de code.
Wat werkt wel bij de automaat?
Begin bij de betaalmethode die de beheerder zelf vermeldt. In Amsterdam voer je op de automaat je kenteken in en betaal je daar met pinpas, creditcard of telefoon. Volgens de gemeente horen QR-codes niet bij die route. Dat is een duidelijke regel voor Amsterdam, maar geen landelijk verbod op QR-betalen: andere beheerders kunnen wel een echte code gebruiken. Kijk daarom naar de instructies op de officiële automaat of in een app die je zelf al kent. Zit er een los stickertje over informatie heen, dan is dat een reden om te stoppen en de beheerder te waarschuwen.
Ook bij een echte QR-betaling blijft controleren nodig. De Betaalvereniging Nederland onderscheidt codes die een gewone website openen van codes waarmee een betaalapp gegevens klaarzet. Een zichtbaar banklogo bewijst niet dat de code van die bank komt. Bij een webpagina controleer je het adres vóór je gegevens invult; bij de betaalstap lees je bedrag, ontvanger en omschrijving. Gebruik waar mogelijk de officiële bank- of betaalapp. Sommige apps kunnen valse codes herkennen, zegt de vereniging, maar dat is geen garantie: een overtuigende nepwebsite blijft een risico als je haar zelf opent.
Vergelijk twee routes op hetzelfde moment. Een betaling rechtstreeks op de Amsterdamse automaat voert je kenteken en geld door het door de gemeente beschreven systeem. Een onbekende QR-sticker kan je eerst naar een externe website sturen, waarvan de eigenaar niet aan de buitenkant van de sticker te zien is. De telefoon maakt dat verschil niet vanzelf zichtbaar. Een bestaande parkeerapp die je zelf opent kan handiger zijn, maar controleer daarin nog steeds zone, tarief en kenteken. Ons oordeel is dat een paar seconden controle zwaarder wegen dan de snelheid van een toevallig geplakte code.
Heb je alleen gescand en niets ingevuld, dan zegt de politie dat er in principe niets aan de hand is; sluit de pagina en blijf alert. Vulde je bankgegevens in of betaalde je al, neem dan meteen contact op met je bank en doe aangifte. De politie adviseert om verdachte berichten en betaalgegevens te bewaren als bewijs. Safeonweb verwijst Belgen bij bankgegevens of verdwenen geld ook naar de bank of Card Stop. Wacht niet op een tweede afschrijving om te handelen. Een parkeerrekening die de oplichter ontving, kan bovendien betekenen dat de echte parkeerkosten nog openstaan.
Voor Nederlandse en Belgische lezers is de nuttigste regel daarmee niet “scan nooit iets”. QR-codes worden ook voor echte betalingen gebruikt. Vraag bij een onverwachte code vooral wie hem heeft geplaatst, welk adres hij opent en aan wie je uiteindelijk betaalt. De politie en betaalvereniging geven daarvoor elk een ander deel van de controle; de gemeente kan je vertellen welke betaalroute op een specifieke plek hoort. Zo wordt een zwarte verzameling blokjes weer wat zij is: een verwijzing die je moet beoordelen, geen bewijs dat je de juiste partij voor je hebt.
Verder bij de bron
Lees zelf de onderzoeken, uitleg en aankondigingen achter dit verhaal.