QR-koden på bordet kan leda rakt till bedragare: Tre tecken avslöjar den falska

Antalet QR-kod-bedrägerier ökade med 146 procent under första kvartalet 2026, enligt siffror från Microsoft som sammanställdes av säkerhetspublikationen Cybersecurity News. Metoden kallas ”quishing” och kräver bara en skrivare och ett klistermärke.

Så arbetar bedragaren

Metoden är enkel. Bedragaren trycker en kod som leder till en kopia av det verkliga parkeringsbolagets eller restaurangens betalsida, limmar klistermärket över den äkta koden och går därifrån. Nästa bilist som ska mata in registreringsnummer eller nästa gäst som vill öppna menyn hamnar på en falsk sida som ser korrekt ut, men varje tangenttryckning skickas till bedragaren.

Jan Olsson, kommissarie vid polisens nationella bedrägericentrum, varnar i SVT för att parkeringsautomater och insamlingsbössor är särskilt utsatta: ”QR-koder är jättebra att använda för bedragarna.”

I Västerås spreds falska parkeringsböter med QR-kod, så välgjorda att polisens presstalesperson Tobias Ahlén Svalbro själv erkände att ”den där skulle jag bli lurad av”.

Tre tecken du kollar innan du skannar

Klistermärket över det äkta. De flesta falska koder sitter ovanpå en riktig. Pilla försiktigt på hörnet: lossnar koden eller ser den ut att bestå av flera lager är det en varningsklocka. Krokiga, nytryckta eller färska dekaler på en i övrigt sliten automat är ett annat tydligt tecken, enligt en genomgång från säkerhetsmediet Deep Arrival som refererar till varningar från FBI och den amerikanska konsumentmyndigheten FTC.

Adressen i förhandsvisningen. När du riktar kameran mot koden visar telefonen webbadressen innan du klickar vidare. Är domänen felstavad, innehåller slumpmässiga tecken eller leder till ett helt annat land än du förväntar dig, stäng ned direkt. Riktiga parkeringsbolag använder korta, kända domäner.

Betalsidan själv. En äkta parkering eller restaurang skickar dig vidare till ett betalfönster från Swish, Apple Pay, Google Pay eller en namngiven app, inte ett formulär där du matar in hela kortnumret, CVC och personnummer på en okänd webbplats. Blir du ombedd att ”logga in med BankID” på en sida du inte känner igen, är det nästan alltid en bluff.

Vad du gör om du redan har skannat

Misstänker du att du har lämnat kortuppgifter till en falsk kod, spärra kortet via banken direkt och anmäl bedrägeriet till polisen på 114 14. Har du använt BankID på den falska sidan, logga in i din bank med en annan enhet och kontrollera transaktioner och eventuella nya avtal. En fastklistrad kod på en kommunal parkeringsautomat anmäls också till kommunen, så att dekalen kan avlägsnas.