Controleer welke handeling je toestaat, niet alleen hoe de code eruitziet.
Een bericht zegt dat je een QR-code moet scannen om lid te worden van een besloten groep of je account actief te houden. Het volgende scherm vraagt om een apparaat te koppelen. Dat zijn verschillende handelingen. Stop voordat je toestemming geeft: ook een echt mechanisme voor accountkoppeling kan voor een oneerlijk doel worden gebruikt.
End-to-endversleuteling beschermt berichten tussen de deelnemende apparaten. Ze kan niet bepalen of je het apparaat dat die berichten nu ontvangt ook werkelijk wilde toevoegen. Deze gids legt het verschil uit tussen een weblink, een verzoek om een apparaat te koppelen en een code voor contactverificatie. Ook lees je wat je moet controleren als je al hebt gehandeld.
Twee verschillende QR-codevallen
Een valse website: een code opent een pagina die een bekende dienst nabootst en om een wachtwoord of andere gevoelige informatie vraagt. De Amerikaanse consumentenautoriteit FTC waarschuwt voor QR-codes in onverwachte berichten. Ze adviseert de bestemming te controleren en via een bekend kanaal contact op te nemen met de vermeende afzender, in plaats van het bericht te volgen. Een vertrouwd logo bewijst niet wie de pagina beheert. Advies van de FTC over QR-codefraude.
Een ongewenst gekoppeld apparaat: de aanvaller haalt je over om diens computer of een ander apparaat aan je berichtenaccount te koppelen. Daarbij kan een legitieme functie worden misbruikt zonder de versleuteling te kraken. Google Threat Intelligence documenteerde aanvallen op de apparaatkoppeling van Signal, vermomd als groepsuitnodigingen en beveiligingsmeldingen. Bij de waargenomen aanvallen zorgde een geslaagde koppeling ervoor dat toekomstige berichten op een apparaat onder controle van de aanvaller terechtkwamen. Onderzoek van Google naar phishing via apparaatkoppeling.
Dat onderscheid is belangrijk. Je wachtwoord wijzigen vervangt niet het controleren van gekoppelde apparaten. Omgekeerd bewijst alleen je camera op een code richten niet dat iemand je account heeft overgenomen. Ga na welke pagina werd geopend, welke informatie je hebt verstrekt en welke handeling je hebt goedgekeurd.
Drie codes die op elkaar lijken, drie verschillende doelen
| Code of scherm | Beoogd doel | Vraag voordat je verdergaat |
|---|---|---|
| QR-code van een website | Een adres openen | Is dit de bestemming die ik onafhankelijk hiervan verwachtte? |
| QR-code voor apparaatkoppeling | Een ander apparaat toestemming geven | Is dit mijn apparaat en ben ik zelf met koppelen begonnen? |
| QR-code voor contactverificatie | Cryptografische identiteitsgegevens vergelijken | Zit ik in het scherm voor contactverificatie en vergelijk ik met de juiste persoon? |
Signal beschrijft bijvoorbeeld een aparte koppelprocedure via de instellingen voor gekoppelde apparaten en de camera in de app. De huidige instructies bevatten ook een keuze over het overzetten van de berichtgeschiedenis. Dat is niet dezelfde taak als het controleren van het veiligheidsnummer van een contact. Instructies van Signal voor gekoppelde apparaten.
De documentatie van Signal over veiligheidsnummers beschrijft hoe je de nummers vergelijkt of de verificatie-QR-code van het contact scant, bij voorkeur persoonlijk. Die vergelijking helpt de cryptografische identiteit van het gesprek te verifiëren; ze bewijst op zichzelf niet de werkelijke identiteit van een persoon. Het is geen instructie om een nieuwe computer toegang tot je account te geven. Let op het daadwerkelijke doel van het scherm, niet op de beschrijving van de afzender. Uitleg van Signal over veiligheidsnummers.
Een praktisch voorbeeld: de uitnodiging die van betekenis verandert
Stel je deze fictieve situatie voor. Mina ontvangt een bericht dat van een collega lijkt te komen: ‘De projectgroep is verhuisd. Scan dit om weer mee te doen.’ De pagina ziet er verzorgd uit. Ze krijgt de instructie om in haar berichtenapp de scanner voor het koppelen van apparaten te openen.
Mina merkt dat het niet klopt: ze wilde deelnemen aan een gesprek, niet een andere computer verbinden. Ze annuleert, opent zelfstandig de gebruikelijke contactgegevens en vraagt het na bij de collega via een ander vertrouwd kanaal. Ze gebruikt niet het telefoonnummer op de verdachte pagina.
Dit voorbeeld laat een nuttige beslisregel zien: als de toestemming die de app vraagt verder gaat dan je beoogde taak, of iets anders betreft, stop dan. Een bekend afzenderaccount is niet voldoende, want accounts kunnen worden nagebootst of overgenomen. Ook een geruststellend webadres verklaart op zichzelf niet waarom een onverwacht apparaat toegang nodig heeft.
Een korte controlelijst voordat je toestemming geeft
- Benoem je taak. Wil je een pagina openen, lid worden van een groep, een contact verifiëren of je eigen computer koppelen?
- Begin onafhankelijk. Open voor accountbeheer de geïnstalleerde app of een bestemming die je al kent, in plaats van instructies uit een ongevraagd bericht op te volgen.
- Lees de vraag van de app. Behandel apparaatkoppeling, accountherstel en het invoeren van inloggegevens als afzonderlijke beslissingen. Annuleer een verzoek dat niet bij je taak past.
- Identificeer het andere apparaat. Koppel alleen apparatuur die je bewust wilde gebruiken en waarover je controle hebt. Een vriendelijke apparaatnaam is geen bewijs van eigendom.
- Deel geen geheimen in chats. Stuur geen wachtwoorden, registratiecodes of herstelsleutels naar iemand die beweert te helpen.
- Gebruik actuele software. Updates en ingebouwde waarschuwingen zijn belangrijk, maar maken een onverwacht toestemmingsverzoek niet betrouwbaar.
Signals eigen advies tegen phishing raadt aan onafhankelijk te verifiëren, codes geheim te houden en voorzichtig om te gaan met onverwachte verzoeken. Het maakt ook onderscheid tussen officiële aankondigingen, die je alleen kunt lezen, en een interactieve gesprekspartner die zich voordoet als de helpdesk. Dit zijn Signal-specifieke details, geen uitspraken over de ondersteuning van iedere berichtenapp. Advies van Signal over phishing en identiteitsmisbruik.
Als je al hebt gescand of toestemming hebt gegeven
Ga uit van wat er daadwerkelijk is gebeurd:
- Je hebt alleen een pagina geopend: sluit die en stop met de interactie. Controleer of je informatie hebt ingevoerd, iets hebt gedownload of een handeling in een app hebt goedgekeurd. Leid uit alleen het scannen noch een inbraak, noch veiligheid af.
- Je hebt inloggegevens ingevoerd of een code gedeeld: gebruik op een vertrouwd apparaat de officiële herstelinstructies van de dienst. Wijzig blootgestelde wachtwoorden en controleer de toegang tot je account; pak hergebruikte wachtwoorden afzonderlijk aan.
- Je hebt een onbekend apparaat gekoppeld: open de daadwerkelijke apparaten- of sessielijst van de app en verwijder de ongewenste verbinding. Ga er niet van uit dat het verwijderen van het frauduleuze bericht de toegang intrekt.
- Je hebt software geïnstalleerd of ongebruikelijke rechten verleend: onderzoek dat afzonderlijk. Een accountsessie intrekken verwijdert op zichzelf geen schadelijke software van een telefoon.
Specifiek voor Signal adviseert de beveiligingsdocumentatie om gekoppelde apparaten te bekijken, onbekende vermeldingen te verwijderen en bij twijfel alle apparaten in de lijst te verwijderen. De instructies voor ontkoppelen leggen uit hoe je een apparaat vanaf de primaire telefoon de toegang ontzegt. Andere diensten kunnen andere bedieningselementen hebben. Advies van Signal voor accountbeveiliging, Instructies van Signal om apparaten te ontkoppelen.
Het intrekken van toegang kan informatie die al elders is gekopieerd niet terughalen. Wat is blootgesteld hangt af van de dienst, de verleende rechten, een eventuele keuze om de geschiedenis over te zetten en hoe lang de toegang duurde, niet van een universele regel over ‘alle chats’. Als gevoelige gesprekken mogelijk zijn blootgesteld, waarschuw de betrokken personen dan via een vertrouwde route en volg een eventueel toepasselijk proces voor het melden van incidenten.
Wat je moet controleren bij Livara of een andere berichtenapp
Vraag hoe nieuwe apparaten toestemming krijgen, waar actieve sessies worden getoond, hoe toegang wordt ingetrokken en of de geschiedenis apart wordt overgezet. Controleer de actuele productdocumentatie in plaats van aan te nemen dat een vermelding van versleuteling deze vragen beantwoordt. Dit artikel stelt niet vast dat Livara inloggen met QR-codes of een bepaalde procedure voor apparaatkoppeling gebruikt.
De praktische conclusie is eenvoudig: controleer welke handeling je toestaat, niet alleen hoe de code eruitziet.
