Jesper Bengtson
En 27-årig man greps i Lyon efter att ha klistrat falska QR-koder på flera laddstolpar och länsat elbilsförare via en fejksajt.
Gripandet skedde en torsdagskväll i mitten av augusti i garaget LPA des Célestins i centrala Lyon, där väktare tog mannen på bar gärning när han satte upp klistermärken över de riktiga koderna på laddstationerna. Han har erkänt att han började sätta upp fejkkoder i slutet av 2025 i flera parkeringshus i staden, bland annat Célestins och Saint-Antoine, och rättegång är utsatt till februari 2027.
Bedrägeriet är enkelt men effektivt. När föraren skannar den falska koden hamnar hen på en sajt som ser ut precis som laddoperatörens riktiga betalsida, men adressen slutar på ”.site” i stället för det förväntade ”.fr” eller ”.com”. Kortuppgifterna som skrivs in går direkt till bedragaren, som förde över pengarna till ett konto öppnat i falskt namn. Enligt Lyon Parc Auto rör det sig om flera tusen euro i misstänkta transaktioner.
Metoden sprider sig i flera EU-länder
Fenomenet har fått ett eget namn i cybersäkerhetsvärlden: quishing, en sammansättning av QR-kod och phishing. Ubitricity, som driver tusentals lyktstolpsladdare i Berlin, har hittat färre än 30 laddpunkter med falska klistermärken i den tyska huvudstaden, hittills utan konstaterad ekonomisk skada. Liknande fall har rapporterats i Storbritannien, Frankrike, Tyskland, Belgien, Nederländerna, Spanien och Italien.
I ett tidigare franskt fall från 2024 riktat mot operatören EnergyVision drabbades runt hundra kunder, som förlorade omkring 300 euro var (cirka 3 300 kronor per person). Den brittiska myndigheten Action Fraud har rapporterat en ökning på 587 procent av anmälda QR-kod-bedrägerier mellan 2023 och 2025, och Europol pekar i årets Internet Organised Crime Threat Assessment ut quishing som en snabbt växande betalningsinledd attackform i EU.
Att metoden träffar just laddstolpar har en enkel förklaring, enligt säkerhetsforskare. En snabb skanning känns rutinmässig och pålitlig, till skillnad från en misstänkt länk i ett mejl, och mobilen har oftast svagare skydd än datorn därhemma. Metoden liknar de falska QR-koderna på parkeringsautomater som EasyPark tidigare varnat sina användare för.
Så känner du igen en manipulerad kod
Klistermärken sitter ofta löst ovanpå den ursprungliga koden, med kant, bubbla eller lim som avslöjar att något placerats där i efterhand. En riktig kod är i regel tryckt direkt på laddstolpen eller sitter under skyddande plast. Följande punkter går att kontrollera på plats:
- Rör vid koden. Sitter ett klistermärke ovanpå ett annat är det ett tydligt varningstecken.
- Läs webbadressen i webbläsaren innan du skriver in kortuppgifter. Slutar den på en ovanlig toppdomän som ”.site” eller innehåller den små stavfel är det inte operatörens riktiga sajt.
- Använd hellre laddoperatörens app, ett laddkort eller ett fysiskt kortterminal på stolpen än att skanna en QR-kod.
- Har du redan skannat och betalat via en misstänkt sida, spärra kortet omgående hos banken och gör en polisanmälan.
I Sverige, där antalet laddbara personbilar passerade 700 000 hösten 2025 enligt Power Circle, skannar allt fler förare koder på publika laddstationer varje vecka. Vattenfall InCharge, Recharge, Ionity och OKQ8 tillhör de operatörer som svenska elbilsägare oftast möter, och samtliga erbjuder betalning via app eller laddkort som alternativ till skanning.
