In dit artikel
Ergens op een terras, in een foodhall of aan een tafel bij het raam plakt iemand vandaag een sticker over een QR-code die er al lag. Niet over een parkeermeter dit keer — over de code waarmee jouw gasten het menu openen, bestellen, of de rekening betalen. De vraag is niet of dat kan gebeuren. De vraag is hoe vaak het al gebeurt, waarom vrijwel niemand het opmerkt, en wat het écht kost tegenover wat de fix kost.
Vier jaar geleden had bijna geen enkel restaurant een QR-code op tafel. Vandaag heeft de meerderheid er minstens één: voor het menu, voor bestellen, en bij een groeiend aantal zaken ook om de rekening te betalen. Die omslag ging razendsnel, en niemand heeft ondertussen stilgestaan bij een simpele vraag: hoe weet een gast eigenlijk dat de sticker die hij scant, ook echt de jouwe is?
Het antwoord is: dat weet hij niet. Een QR-code is een zwart-wit patroon zonder enige herkenbare afzender — geen logo, geen adresbalk om te checken, geen "klopt dit wel"-gevoel zoals bij een verdachte link in een e-mail. Precies dat maakt hem het perfecte doelwit voor wat cybersecurity-onderzoekers "quishing" noemen: QR-code plus phishing.
Dit artikel gaat niet over de voordelen van QR-bestellen — die staan al apart op deze site, en zijn reëel. Het gaat over wat er gebeurt wanneer iemand anders dan jij een sticker op je eigen tafel plakt, en over de cyberbeveiliging van je systemen zelf — dat artikel bestaat ook al — dit hier is de fysieke tegenhanger: een aanval die niet je wifi of je kassasysteem raakt, maar het stukje papier op tafel 4.
Zeven cijfers, in deze volgorde: waarom dit nu pas een probleem is, hoe de wissel er in de praktijk uitziet, waarom je gasten het niet zien, wat één gescande sticker gemiddeld kost, de rekensom die het voor een crimineel de moeite waard maakt, wat politie en toezichthouders er al over zeggen, en de fix die vrijwel niets kost.
Waarom "het is maar een sticker" het probleem in stand houdt
De meeste zaken hebben geen enkele routine om hun eigen QR-codes te checken, om dezelfde reden als bij een tafelschuimer die nooit betaalt: het is nooit expliciet doorgedacht. Een sticker wordt één keer geplakt bij de opening, en daarna kijkt niemand er nog naar — behalve wanneer hij loslaat of vuil wordt.
Dat is precies het venster waar deze fraude in leeft. Een vervangende sticker, in dezelfde kleur en hetzelfde formaat als het origineel, valt bij een drukke service niemand op — niet de gast, niet de ober die met vier borden tegelijk langsloopt, en niet de eigenaar die de zaak runt in plaats van elke tafel te inspecteren.
De rest van dit artikel bouwt op wat er echt over bekend is: waarom het aanvalsoppervlak nu pas bestaat, hoe de wissel er in de praktijk uitziet, wat het kost als het misgaat, en de ene gewoonte die het risico het snelst terugbrengt — niet een nieuw systeem, maar een sticker die niet zomaar te vervangen is.
Gratis gids Alles over digitaal in je zaak, in één gids Van QR-bestellen tot cyberbeveiliging — de volledige gids voor de digitale kant van je restaurant. Lees de gids7 cijfers die de meeste zaken nooit hebben opgezocht
Elk van deze cijfers staat op zichzelf overeind, en komt uit een officiële bron of een gepubliceerd onderzoek — geen enkel cijfer hieronder is een schatting van deze site. Samen verklaren ze waarom een QR-sticker geen decoratie is, maar een stukje betaalinfrastructuur dat evenveel aandacht verdient als je kassasysteem.
1. Waarom dit nu pas een probleem is
Vóór 2020 bestond het aanvalsoppervlak nauwelijks: QR-codes op restauranttafels waren een curiositeit, geen infrastructuur. Dat is veranderd. Wereldwijd werkt vandaag 75% van de restaurants met een QR-code voor het menu, bestellen of betalen — een omslag die zich in nog geen vijf jaar voltrok.
Elke QR-code die je toevoegt, is een nieuw stukje vertrouwen dat je aan een gast vraagt zonder dat hij kan verifiëren waar het naartoe leidt. Bij één sticker op tafel is dat een beperkt risico. Bij een menu, een bestelknop én een betaallink is het drie keer een kans die een crimineel kan grijpen.
Dat is geen reden om te stoppen met QR-codes — het gemak en de kostenbesparing zijn reëel, en deze site schreef daar al apart over. Het is wel de reden waarom de rest van dit artikel de moeite waard is: het aanvalsoppervlak is nieuw, en de gewoontes om het te beveiligen zijn dat bij de meeste zaken nog niet.
Vier cijfers, elk uit een aparte bron — samen de reden waarom een QR-sticker vandaag een aantrekkelijker doelwit is dan vijf jaar geleden.
Bronnen: KeepNet Labs / CNBC (juli 2025) voor de groei- en detectiecijfers; QR-adoptiecijfers uit branche-onderzoek naar restaurant-QR-gebruik, 2025.
2. Hoe de wissel er in de praktijk uitziet
De methode is opvallend simpel, en dat is precies wat hem werkt: een crimineel drukt een sticker met een eigen QR-code, in ongeveer dezelfde afmeting en op vergelijkbaar materiaal als het origineel, en plakt die gewoon over de bestaande code heen. Geen inbraak, geen technische kennis van jouw systemen nodig — alleen toegang tot de tafel voor de tijd die het kost om een sticker te plakken.
De Belgische federale politie waarschuwde er expliciet voor nadat parkeerautomaten in Brussel op precies deze manier werden aangepakt: een nep-sticker over de echte QR-code, die gebruikers naar een valse betaalpagina stuurde. Het Amerikaanse FTC en het NYC Department of Transportation deden hetzelfde na gelijkaardige incidenten op parkeermeters en laadpalen voor elektrische wagens.
Restauranttafels staan op diezelfde lijst van doelwitten, samen met menukaarten, posters en betaalterminals — overal waar een QR-code zonder toezicht een tijdje kan blijven hangen. Het mechanisme is telkens identiek: de gast scant wat hij denkt dat het origineel is, en komt op een pagina die er ook precies zo uitziet.
3. Waarom je gasten het niet zien
Een QR-code toont zijn bestemming niet voor je scant. Bij een link in een e-mail kun je er met je muis over hangen en de echte URL zien — bij een zwart-wit vierkantje op een sticker kan dat niet. Je telefoon vertrouwt bovendien een link die via de camera geopend wordt sneller dan eenzelfde link in een e-mail, precies omdat QR-scannen als een fysieke, "veilige" handeling aanvoelt.
Onderzoek naar consumentengedrag rond quishing, geanalyseerd door CNBC op basis van FBI-, FTC- en deelstaatgegevens, wijst uit dat slechts 39% van de mensen een vervalste QR-code herkent vóór ze scannen. Met andere woorden: 61% ziet geen enkel verschil tussen jouw echte sticker en de sticker die iemand eroverheen plakte.
Dat is geen kwestie van onoplettende gasten. Een sticker die er identiek uitziet, op dezelfde plek zit en hetzelfde "scan mij"-gevoel geeft, is ontworpen om precies dat vertrouwen te misbruiken — bij een oplettende gast net zo goed als bij een gehaaste.
4. Wat één gescande sticker gemiddeld kost
Wanneer een gast de nep-code scant, gebeurt één van twee dingen. De pagina lijkt op een betaalscherm en vraagt kaartgegevens die rechtstreeks naar de crimineel gaan — de rekening wordt dus nooit bij jou betaald, terwijl de gast wél denkt dat hij betaald heeft. Of de pagina lijkt op je menu of bestelsysteem en verzamelt in de achtergrond inloggegevens of persoonlijke informatie die later voor identiteitsfraude gebruikt worden.
Een analyse van CNBC op basis van FBI-, FTC- en deelstaatgegevens (juli 2025) becijfert het gemiddelde verlies per slachtoffer van quishing op $1.225 — omgerekend ongeveer € 1.150. Dat is het bedrag per geslaagde scan, niet per zaak: één kwetsbare tafel kan meerdere keren geraakt worden voor iemand het opmerkt.
Voor jouw zaak is de schade dubbel. De rekening die via de nep-pagina "betaald" werd, komt nooit op je rekening terecht — en de gast die zich bedrogen voelt, wijt dat aan jou, niet aan de crimineel die de sticker plakte. Dat tweede stuk, het vertrouwen van de gast, staat in geen enkele boekhouding maar weegt vaak het zwaarst.
5. De rekensom die het voor een crimineel de moeite waard maakt
Een nep-sticker printen en lamineren kost een crimineel amper een paar euro — hetzelfde materiaal en dezelfde printer als voor een echte sticker. Tegenover een gemiddeld verlies van meer dan duizend euro per succesvolle scan is dat een rendement dat weinig andere vormen van fraude evenaren.
Die rekensom verklaart ook waarom quishing zo snel groeit. Volgens cijfers van cybersecuritybedrijf KeepNet Labs, geciteerd door CNBC, steeg het aantal quishing-aanvallen met 587% sinds 2023 — door de FBI zelf bestempeld als de snelst groeiende vorm van phishing. Ondertussen wordt 26% van alle kwaadaardige links inmiddels via een QR-code verstuurd, niet meer via een klassieke phishing-e-mail.
Voor een crimineel is een tafel-QR-code in een restaurant precies het juiste doelwit: goedkoop om te vervalsen, moeilijk te onderscheiden van het origineel, en gegarandeerd dat er meerdere keren per dienst iemand op scant.
Wat de fraude een crimineel kost, tegenover wat ze een slachtoffer kost — en wat bescherming kost, ergens daartussenin.
De laatste balk is het gemiddelde verlies per succesvolle quishing-scan (CNBC, juli 2025), omgerekend naar je eigen munt. De eerste twee zijn illustratieve orde-van-grootte-bedragen, geen exacte prijslijst.
6. Wat de politie en de toezichthouders er al over zeggen
Dit is geen hypothetisch scenario dat deze site verzint — het is een probleem dat overheden expliciet erkennen. De Amerikaanse FBI waarschuwde voor het eerst in januari 2022 voor criminelen die QR-codes vervalsen om slachtoffers naar kwaadaardige websites te leiden, en herhaalde die waarschuwing sindsdien meermaals, meest recent in 2025.
In eigen land waarschuwde de federale politie expliciet voor "quishing" nadat parkeerautomaten in Brussel op deze manier werden aangepakt, en de FOD Economie publiceerde een eigen consumentenpagina over QR-codes die gebruikt worden om een factuur te "betalen". Beide instanties noemen restauranttafels, parkeermeters en betaalterminals in één adem als kwetsbare plekken.
Dat overheidsniveau van erkenning is zelf een cijfer: wanneer zowel de Amerikaanse FBI als de Belgische federale politie onafhankelijk van elkaar exact dezelfde methode beschrijven, is dit geen incident — het is een gevestigd fraudepatroon waar je zaak op voorbereid moet zijn.
7. De fix die vrijwel niets kost
De goedkoopste bescherming is de eenvoudigste: laat je QR-code niet los liggen als een vervangbare sticker. Laat hem lamineren in het tafelblad, graveer hem in een standaardje, of print hem rechtstreeks op het menu in plaats van als losse sticker — elke vorm die een sticker eroverheen zichtbaar maakt, doet het meeste werk.
De tweede laag kost geen materiaal, alleen een gewoonte: neem het controleren van elke tafel-QR-code op in je openings- en sluitingsronde. Deze site schreef daar al apart over — het is exact het soort korte, terugkerende controle waar die checklist voor bestaat, en een sticker die overgeplakt is, valt bij een gerichte blik meteen op.
De derde optie, voor wie toch met losse stickers werkt: een dynamische QR-code die per bestelling of per dag verandert, gegenereerd vanuit je eigen kassasysteem in plaats van één keer afgedrukt en jarenlang hergebruikt. Een code die morgen al niet meer geldig is, is voor een crimineel geen aantrekkelijk doelwit meer.
Reken het uit voor jouw zaak
Vul je eigen cijfers in. Het incidentpercentage staat standaard op een voorzichtige aanname — er bestaat geen betrouwbare per-restaurant frequentie voor deze fraude, dus dit is een denkoefening, geen voorspelling.
Dit is geen boekhouding: het punt is niet het exacte bedrag, het is of de kolom "blootstelling" groter is dan de kolom "bescherming" bij de aannames die voor jouw zaak realistisch zijn.
Jaarlijkse blootstelling tegenover de kost om ze te voorkomen
Vul je eigen aantallen in — de rest rekent mee.
—
Standaard incidentpercentage: 1% van de weken — een voorzichtige aanname, geen gemeten frequentie. Vervang gerust door je eigen inschatting.
Dit is een denkoefening met jouw eigen cijfers, geen boekhoudkundige garantie — vervang elke aanname door je eigen ervaring.
Wat de tool niet meet: het vertrouwen van de gast die zich bedrogen voelt en dat aan jouw zaak wijt, niet aan de crimineel die de sticker plakte. Zie cijfer 4 hierboven — dat stuk van de schade staat in geen enkele boekhouding.
En wat het nooit vervangt: cijfer 7 blijft gelden ongeacht wat de rekensom oplevert — een QR-code die niet zomaar te vervangen is, kost bij elk scenario minder dan de bescherming uit deze tool alleen.
Hoe je dit morgen aanpakt, zonder een heel nieuw systeem
Drie stappen, in deze volgorde — niet omdat de rest niet telt, maar omdat deze drie het snelste effect hebben op wat een vervalste QR-code je écht kost.
1. Maak elke QR-code moeilijk te vervangen
- Lamineer, graveer of druk je QR-codes rechtstreeks op het materiaal — nooit als losse sticker die je zelf ooit even snel opplakte.
- Doe hetzelfde voor elke code die niet op tafel staat: menukaarten, posters, en de betaalterminal zelf.
- Een code die zichtbaar beschadigd raakt als iemand er iets overheen plakt, is meteen minder aantrekkelijk als doelwit.
2. Neem de controle op in een routine die al bestaat
- Voeg "QR-codes checken" toe aan je openings- en sluitingsronde — zie de checklist hierboven.
- Eén korte blik per tafel bij het klaarzetten is genoeg; een overgeplakte sticker valt dan meteen op.
- Herhaal dezelfde controle bij posters en betaalterminals, niet alleen bij de tafels.
3. Reken de kost door tegen de bescherming, niet tegen het incident
- Gebruik de rekentool hierboven met je eigen bestelvolumes en gemiddelde rekening.
- Vergelijk dat bedrag met wat lamineren, gravure of een dynamische code vanuit je kassasysteem kost.
- Herhaal de som wanneer je aandeel QR-bestellingen of -betalingen merkbaar groeit.
Het korte antwoord
Een vervalste QR-code op je tafel is geen ver-van-mijn-bedshow — het is een fraudepatroon dat de FBI, de Belgische federale politie en de FOD Economie onafhankelijk van elkaar hebben bevestigd, en dat groeit precies omdat restaurants zelf massaal op QR-codes zijn overgestapt.
De schade is dubbel: de rekening die nooit bij jou terechtkomt, en de gast die het vertrouwen verliest in een zaak die er part noch deel aan had. Beide stukken tellen mee, ook al staat maar één ervan in een boekhouding.
De fix is klein vergeleken met wat ze voorkomt: maak je QR-codes moeilijk te vervangen, en neem het checken ervan op in een ronde die je toch al loopt.