Bepaal eerst in welke van de drie situaties je zit
Een QR-code op een pakketje dat je niet verwachtte — een onbekende afzender, een label met “retour” of “herbezorging”, een briefje met het verzoek een adres te bevestigen — is een link die je niet hebt aangevraagd. De nuttige vraag is niet “is dit pakketje echt?”, maar “hoe ver is deze code in mijn accounts doorgedrongen?”
Gebruik deze tabel om je situatie te bepalen voordat je iets anders doet.
| Situatie | Wat er is gebeurd | Wat je eerst moet doen |
|---|---|---|
| A. Ongeopend | Je hebt het pakketje of label, maar de code nog niet gescand | Scan hem niet om “te kijken wat het is”. Bewaar de verpakking en noteer de afzendertekst, datum en vervoerdersmarkeringen |
| B. Alleen gescand | De code opende een pagina of app-prompt, maar je hebt geen wachtwoord, code of kaartnummer ingetypt | Sluit de pagina. Voer niets in. Controleer het account dat de pagina beweerde te vertegenwoordigen via de officiële app of een bladwijzer die je al had |
| C. Inloggegevens ingevoerd | Je hebt na het scannen een wachtwoord, eenmalige code, kaartnummer of andere inloggegevens ingetypt | Behandel het account als blootgesteld en ga naar de herstelstappen hieronder |
Scan de code niet als test, ook niet op een reserveapparaat. Het scannen is juist de stap die de pagina laadt.
Situatie A: de code is nog niet gescand
Je hoeft de afzender niet te identificeren om jezelf te beschermen. Je moet voorkomen dat je de afgedrukte route gebruikt.
- Scan de code niet en open geen korte link die ernaast staat afgedrukt.
- Bewaar de verpakking en het label. Fotografeer het label, de afzenderregel en een eventueel trackingnummer. Dit is voor je eigen administratie, niet als bewijs dat de afzender betrouwbaar is.
- Controleer of je echt een bezorging hebt besteld. Gebruik de app van de vervoerder of winkelier, of een site die je zelf opzoekt — niet het telefoonnummer of de link op het label.
- Als het pakketje echt onverwacht is en je het niet aan een bestelling kunt koppelen, behandel het dan als ongevraagd. Wat je ermee mag doen, hangt af van waar je woont; dit artikel geeft geen juridisch advies voor welk land dan ook.
- Meld het als je wilt. In de VS publiceert de FTC consumentenvoorlichting over scam-berichten en pakketjes. Meldroutes verschillen per land; gebruik je lokale consumentenautoriteit in plaats van aan te nemen dat een Amerikaanse procedure geldt.
Een pakketje dat aankomt zonder bijpassende bestelling is niet automatisch een misdaad, en een QR-code is niet automatisch kwaadaardig. Het punt is dat je dat niet aan het label alleen kunt zien, dus je hoeft het risico niet te nemen om erachter te komen.
De FTC waarschuwt dat een QR-code op een onverwacht pakketje kan leiden naar een phishing-website die inlog- of betaalgegevens steelt, of naar malware. Bron
Situatie B: gescand, maar niets ingevoerd
Als de code een pagina opende en je stopte voordat je iets intypte, is je belangrijkste taak de echte accountstatus bevestigen via een route die je zelf beheert.
- Sluit de pagina of app-prompt. Ga niet “inloggen om te annuleren” of “de bezorging bevestigen” op de pagina die de code opende.
- Open de officiële app van de dienst, of typ het adres zelf in een nieuw browsertabblad. Hergebruik niet de link uit de scan.
- Controleer of de beweerde gebeurtenis bestaat. Als de pagina zei dat een pakketje vastgehouden werd, zoek dan dezelfde melding in het eigen accountgedeelte van de vervoerder of winkelier. Als daar niets staat, was de pagina geen echte melding.
- Installeer niets wat de pagina aanbiedt. Een app-installatieprompt van een pakketje-QR-code is geen bezorgvereiste die je kunt verifiëren.
- Schrijf op waar de pagina om vroeg — wachtwoord, kaartnummer, eenmalige code, bezorgkosten — zodat je het nauwkeurig kunt beschrijven als je het meldt.
Alleen scannen bewijst niet dat je accounts zijn benaderd. Het risico in deze situatie is wat je hierna doet, dus de veilige volgende stap is stoppen met het gebruik van de afgedrukte route.
Situatie C: inloggegevens zijn ingevoerd
Dit is de situatie die actie vereist, en de volgorde is belangrijk.
Als er na het scannen van zo’n code accountgegevens zijn ingevoerd, adviseert de FTC het wachtwoord te wijzigen en tweestapsverificatie in te schakelen. Bron
Werk deze stappen in volgorde af, via de eigen app van het account of een pagina die je zelf opzoekt:
- Wijzig het wachtwoord via de officiële app of site, niet via de pagina die de code opende.
- Schakel tweestapsverificatie in als dat nog niet aan staat. Geef de voorkeur aan een authenticator-app of een hardware-sleutel boven sms, waar het account dat biedt.
- Wijzig hetzelfde wachtwoord overal waar je het hergebruikte. Een wachtwoord dat op een phishing-pagina is ingetypt, moet als bekend bij iemand anders worden beschouwd.
- Als je kaart- of bankgegevens hebt ingevoerd, neem dan contact op met de kaartuitgever of bank via het nummer op je kaart of de officiële app. Gebruik geen nummer of link van het pakketje of de gescande pagina. Dit artikel belooft niet dat een betaling kan worden teruggedraaid.
- Houd toegang tot je herstelmethode tot je klaar bent. Verwijder je e-mailadres, telefoonnummer of herstelcodes niet voordat de wachtwoordwijziging en tweestapsverificatie bevestigd werken, anders kun je jezelf buitensluiten.
- Controleer recente accountactiviteit in de officiële app: inloglocaties, gekoppelde apps, doorstuurregels en betaalmethoden. Maak ongedaan wat je niet herkent.
Een inlogverbinding verwijderen of een profiel bewerken is niet hetzelfde als opgeslagen gegevens wissen. Als je een account volledig opheft, volg dan het eigen opheffingsproces van de provider en houd een werkende herstelmethode tot de opheffing is bevestigd.
Gebruik bekende accountroutes, niet de afgedrukte code
Een pakketlabel kan elk adres, telefoonnummer of elke QR-code afdrukken. Het kan niet bewijzen wie de bestemming bezit. Begin voor elke accountbeslissing — wachtwoord resetten, bezorging bevestigen, betalen, terugbetalen — bij een route die je al vertrouwt:
| Taak | Vertrouwd startpunt |
|---|---|
| Een bezorging bevestigen | De app van de vervoerder of winkelier, of een adres dat je zelf intypt |
| Een wachtwoord resetten | De officiële app of site van de dienst, of de gedocumenteerde accountherstelprocedure |
| Een betaling controleren | De app van je bank of kaartuitgever, of het nummer op je kaart |
| Een verdacht bericht melden | Je lokale autoriteit voor consumentenbescherming; in de VS de gepubliceerde voorlichting van de FTC |
Als een bericht beweert van een supportaccount te komen en je vraagt het gesprek naar een chat-app te verplaatsen of je te “verifiëren” door in te loggen, geldt dezelfde regel: bevestig via de eigen app van de dienst. Voor die aparte situatie, zie nep-supportaccounts op sociale media controleren.
Een overeenkomst met een openbare gebruikersnaam is een aanwijzing, geen bewijs van eigenaarschap. Als je probeert te achterhalen wie er achter een gebruikersnaam zit die contact met je opnam, kan een zoekopdracht naar gebruikersnamen zoals TraceSeek laten zien waar een gebruikersnaam op 3.000+ platforms voorkomt, maar het wijzigt geen accountinstellingen, verstrekt geen herstelcodes, haalt geen geld terug en verifieert geen echte identiteit.
Wat je niet moet concluderen
- Niet elke QR-scan installeert malware. De FTC beschrijft phishing en malware als mogelijke uitkomsten; ze zegt niet dat elke scan tot een van beide leidt.
- Een gescande pagina die echt leek, is geen bewijs dat hij echt was. Controleer de beweerde gebeurtenis in de eigen app van de dienst.
- Een pakketje zonder bijpassende bestelling identificeert de afzender niet. Behandel een naam of retouradres op het label niet als geverifieerd.
- Regels voor ongevraagde goederen verschillen per land. Dit artikel breidt geen nationale regel uit naar andere markten.
- Een wachtwoord wijzigen is geen garantie op herstel. Het vermindert blootstelling; of een account of betaling wordt hersteld, hangt af van de provider.
Een kort werkblad dat je kunt overnemen
Vul dit in voordat je handelt, zodat je het later niet hoeft te reconstrueren:
- Situatie: A / B / C
- Datum en tijd van de scan (indien van toepassing):
- Wat de pagina of prompt beweerde te zijn (vervoerder, winkelier, bank, anders):
- Waar om werd gevraagd (wachtwoord / eenmalige code / kaartnummer / kosten / app-installatie):
- Wat je hebt ingevoerd, indien iets:
- Getroffen accounts:
- Wachtwoord gewijzigd: ja / nee — via officiële app of site: ja / nee
- Tweestapsverificatie ingeschakeld: ja / nee
- Herstelmethode nog toegankelijk: ja / nee
- Kaartuitgever gecontacteerd (als kaartgegevens zijn ingevoerd): ja / nee
- Gemeld bij (lokale autoriteit, vervoerder, winkelier):
Als je klaar bent, is de nuttige volgende actie elk getroffen account via de eigen app te bevestigen: wachtwoord gewijzigd, tweestapsverificatie aan, herstelmethode werkt en geen onbekende sessies of gekoppelde apps.