Sebastian Juul
Falska QR-koder i mejl kringgår vanliga spamfilter och leder rakt till en inloggningssida som stjäl ditt BankID.
Metoden kallas quishing, en kombination av QR och phishing, och den växer explosionsartat. Microsoft registrerade en ökning med 146 procent av QR-baserad phishing i mejl under första kvartalet 2026. Analysen bygger på 8,3 miljarder blockerade phishing-mejl under kvartalet.
Mejlen ser ut att komma från någon du litar på: PostNord, DHL eller banken. Istället för en klickbar länk ligger det en inbäddad QR-kod. Skannar du den med mobilen hamnar du på en falsk sida som ber dig signera med BankID eller fylla i kortuppgifter. Målet är att få kontroll över kontot.
Därför kringgår metoden filtren
QR-koden är en bild, inte en text. Mejlsäkerhetssystem som normalt granskar länkar i brödtexten ser bara en harmlös bildruta och släpper igenom mejlet. När du skannar koden flyttar hela interaktionen till telefonens webbläsare, utanför företagets eller datorns skyddslager. Många attacker gömmer koden i en PDF-bilaga för att gå ett steg längre in i inkorgen innan den upptäcks.
Att metoden också sprids i den fysiska världen har polisen varnat för. Jan Olsson, kriminalkommissarie på polisens nationella IT-brottscentrum, sa till SVT att ”QR-koder är jättebra att använda för bedragarna” och att de därför tejpar över äkta koder på exempelvis parkeringsautomater. Samma byta-ut-taktik har sedan dykt upp på laddstolpar för elbilar och på restauranger och parkeringsplatser.
Tre tecken avslöjar bluffen på tio sekunder
1. Avsändaradressen matchar inte företaget. Klicka upp hela avsändarraden innan du gör något annat. Ett äkta spårningsmejl från PostNord kommer från en adress på postnord.se, inte från ”postnord-leverans.help” eller en kryptisk domän på .top.xyz eller .ru.
2. Du förväntade dig ingenting. Du har inte beställt något paket, inte lämnat in en deklaration, inte sökt ett nytt konto. Legitima företag skickar inte oombedda QR-koder som leder till BankID-signering.
3. Förhandsgranskningen visar en okänd adress. Kameran i både iPhone och Android visar URL:en innan sidan öppnas. Är adressen förkortad, lång och slumpmässig eller inte identisk med företagets riktiga webbplats, stäng notisen direkt och radera mejlet.
Grundregeln är enkel
Rådet från Swedbank är kort: scanna bara QR-koder från företag och organisationer du känner till, och undvik att logga in eller lämna personliga uppgifter efter en skanning. Behöver du verkligen hantera ett paket eller en faktura, öppna företagets app eller skriv in webbadressen själv i webbläsaren.
Har du redan signerat med BankID efter att ha skannat en misstänkt kod, kontakta banken omedelbart för att spärra BankID och frysa kontot. Polisanmälan görs på 114 14, och mejlet bör rapporteras till det företag bedragaren utgav sig för att vara.
