QR‑koder og delte dokumenter som phishing: særlige spor

Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen

QR-phishing og phishing via delte dokumenter er bygget til at undgå de kontroller, der normalt fanger et ondsindet link. En QR-kode er et billede, som mailfiltre og linkbeskyttelse ikke altid læser, og den scannes typisk med en privat telefon på mobilnettet. Et delt dokument kommer fra en legitim tjeneste med gyldig afsenderkontrol, og det ondsindede link ligger inde i dokumentet, ofte i en anden virksomheds tenant. For undersøgelsen betyder det, at klikket ofte sker helt uden for virksomhedens egne logs. Sporene skal derfor findes i selve mailen, i loginloggen og eventuelt på medarbejderens telefon.

Haster det? Et delt phishingdokument kan slettes inden for timer, og loginloggen gemmes i Entra ID kun 7 eller 30 dage efter licens. Se akut forensisk sikring; hastesager koster ekstra.

Den generelle sikring af phishingmails og landingssider er beskrevet i Phishing-analyse: sikring af mail, link og landingsside. Her handler det om det, der er særligt for de to varianter.

QR-koder

Hvorfor sporene mangler

Når en medarbejder scanner en QR-kode fra en mail på computerskærmen med sin telefon, sker der følgende:

linket bliver ikke omskrevet af virksomhedens linkbeskyttelse, fordi det er et billede; flere udbredte mailfiltre, herunder Microsofts, kan i dag udtrække adressen fra QR-koder i mailens billeder og kontrollere den ved levering, men dækningen af fx billeder i PDF-vedhæftninger varierer, og selve klikket sker stadig uden om linkbeskyttelsen,
besøget går gennem telefonens mobilnet, ikke virksomhedens proxy, DNS eller firewall,
EDR på computeren ser intet, fordi computeren ikke var involveret,
landingssiden åbnes i telefonens browser, hvor virksomheden typisk ikke har nogen logning.

Det eneste sted, virksomheden ofte kan se noget, er loginloggen, hvis medarbejderen indtastede sine oplysninger på en falsk loginside.

Sikring af QR-koden

Sikr mailen med fuld header som fil.
Træk billedet ud, enten som vedhæftning, som indlejret billede i HTML-delen eller som side i en vedhæftet PDF. Beregn hashværdi.
Afkod QR-koden med et værktøj, der viser den rå tekst uden at åbne adressen. Dokumentér adressen i uskadeliggjort form.
Sikr landingssiden fra et isoleret miljø, gerne med en mobil brugeragent, fordi mange QR-kampagner kun viser det falske indhold for telefoner.

Kampagner bruger ofte en unik QR-kode pr. modtager. Sammenlign derfor koderne på tværs af modtagere, og vær opmærksom på, at et besøg med en bestemt modtagers kode kan registreres som et klik fra netop den modtager.

Loginloggen som hovedkilde

Kendetegn efter en QR-phishing er typisk et login til medarbejderens konto fra en mobilbrowser eller fra en adresse hos en hostingudbyder kort efter mailens levering, ofte uden for arbejdstid. Er sessionen stjålet i realtid, ses mønstret i AiTM-phishing: kendetegn på stjålne sessioner.

Telefonen

Er det nødvendigt at fastslå, om medarbejderen scannede koden, kan telefonens browserhistorik og kameraappens historik give svaret. Er telefonen privat, kræver det medarbejderens samtykke, og udtrækket bør afgrænses til det relevante tidsrum og de relevante apps. Ofte er det tilstrækkeligt at få medarbejderens egen forklaring og et skærmbillede af browserhistorikken for det pågældende tidspunkt, taget i overværelse af den, der dokumenterer. Brug ikke telefonen som datakilde mod medarbejderens vilje.

Delte dokumenter

Mønstret

En angriber, der har overtaget en konto hos en samarbejdspartner, deler et dokument fra partnerens cloudlager med virksomhedens medarbejdere. Notifikationen kommer fra den legitime tjeneste og består alle afsenderkontroller. Dokumentet indeholder en tekst som “Se faktura” med et link til en falsk loginside. Variationer bruger formularer, præsentationer eller notesbøger i stedet for dokumenter.

Hvad virksomheden kan sikre

Notifikationsmailen med header. Den viser den delende konto og ofte dokumentets adresse.
Dokumentets adresse og indhold. Åbn det fra et isoleret miljø, og sikr siden og linket i dokumentet. Dokumentet kan blive slettet hurtigt.
Egne auditlogs. Når en medarbejder åbner et dokument i en anden organisations tenant, logges adgangen typisk i den anden organisations auditlog, ikke i virksomhedens egen. Dér kan den fx stå som en åbnet fil eller et brugt delingslink. I virksomhedens egen tenant ses højst loginet til den fremmede tenant, hvor ressourcetenanten er en anden end brugerens hjemmetenant.
Loginloggen for adgang til den eksterne tenant, som kan stå som et login til en fremmed ressource, og for efterfølgende logins til egen konto fra phishingsiden.
Proxy- og klikdata, hvis klikket skete på en computer i virksomhedens netværk.

Samarbejdspartneren

Den delende konto er ofte selv offer. Auditloggen i partnerens tenant kan vise, hvornår dokumentet blev oprettet og delt, med hvem, og hvem der har åbnet det. Det er partnerens data, og de skal anmodes om, ikke hentes. Underret partneren hurtigt, og bed om bevarelse af logs og dokumentet. Den tekniske baggrund for deling og versionering findes i SharePoint og OneDrive: versionshistorik og delingslinks.

Beslægtede varianter

Samme princip, at flytte klikket væk fra de kontrollerede kanaler, ses i andre former:

QR-koder på papir, fx på opslag eller breve, hvor der slet ingen mail er at sikre. Her er det fysiske materiale beviset, og det skal fotograferes, opbevares og registreres som ethvert andet bevis.
Links i sms og chat til medarbejderens telefon. Sporet ligger på telefonen og hos teleoperatøren, ikke i virksomhedens systemer.
Kalenderinvitationer med links, der lægges direkte i kalenderen og kan ligge der, efter at mailen er slettet.
Links i samarbejdsværktøjer som chatkanaler med eksterne gæster, hvor beskeden logges i værktøjets egne logs. → Teams teknisk: hvor chats og filer gemmes

Find ud af, hvilken kanal medarbejderen faktisk modtog linket gennem, før indsamlingen planlægges.

Konfigurationen som kontekst

I en tvist om, hvem der burde have forhindret hændelsen, bliver opsætningen ofte relevant: Læste mailfilteret QR-koder i billeder? Var der begrænsninger på adgang fra ikke-administrerede enheder? Krævede virksomheden godkendelsesmetoder, der ikke kan videresendes via en falsk side? Gem de relevante indstillinger med dato, og find i auditloggen, hvornår de sidst blev ændret. Det er en teknisk beskrivelse af tilstanden, ikke en vurdering af, om den var tilstrækkelig.

Omfang

Begge varianter gør det sværere at opgøre, hvem der klikkede. Message trace viser modtagerne, men klik på QR-koder ses typisk ikke, og klik i eksterne dokumenter kun delvist. Omfanget må derfor ofte afgrænses ud fra loginloggen: Hvem af modtagerne har logins fra fremmede adresser i perioden? Metoden er beskrevet i Hvem modtog og klikkede?

Fejlkilder

Fravær af klik i virksomhedens logs er forventet ved QR-phishing og betyder ikke, at ingen scannede koden.
Bestået SPF, DKIM og DMARC på en delingsnotifikation viser, at tjenesten sendte den, ikke at indholdet var harmløst.
Mobilnetadresser i loginloggen kan tilhøre medarbejderens egen telefon. Sammenhold med enhedsoplysninger og tidspunkt.
Dokumentet ændres. Et delt dokument kan redigeres efter delingen, så det, der sikres senere, ikke nødvendigvis er det, medarbejderen så.

Hvad sporene kan og ikke kan bevise

Mailen og den afkodede QR-kode eller dokumentets indhold kan vise, hvor medarbejderen blev ført hen. Loginloggen kan vise, om oplysninger blev afgivet og brugt. Det direkte bevis for selve klikket mangler ofte, og konklusionen må bygges på sammenhængen i tid mellem levering, login og efterfølgende aktivitet. Det skal formuleres som en slutning, ikke som en observation.

Dokumentation

Rapporten bør beskrive, hvordan QR-koden er afkodet, eller hvordan det delte dokument er sikret, med tidspunkt, miljø og hashværdier, og forklare, hvorfor virksomhedens egne logs ikke dækker klikket.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse efter et hackerangreb

Læs også: Ondsindede vedhæftninger: hvad der sikres på endpointet · Kompromitteret WordPress: webserverlogs, filændringer og databasen

→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik