---
title: "Teams verbergt QR-codes van buiten"
date: 2026-09-04
author: "Ransomware Simulator oefenteam"
featured_image: "https://ransomwaresimulator.nl/wp-content/uploads/2026/09/teams-qr-codes-externe-afzenders-blokkade.png"
categories:
  - name: "Ransomware Simulator"
    url: "/category/uncategorized.md"
---

# Teams verbergt QR-codes van buiten

Een leverancier stuurt een bericht in Teams. Er zit een plaatje bij met een blokjescode en de tekst dat de factuurportal is verhuisd. De medewerker pakt zijn telefoon, scant, logt in. Vanaf dat moment heeft iemand anders zijn wachtwoord, en het gebeurde in een venster waar de securitytraining nooit over ging.

Microsoft schermt zulke afbeeldingen vanaf oktober standaard af. QR-codes van afzenders buiten je eigen organisatie worden verborgen tot de ontvanger ze bewust zichtbaar maakt, meldt [ICTMagazine](https://www.ictmagazine.nl/nieuws/microsoft-blokkeert-externe-qr-codes-in-teams-tegen-phishing-2/). De wijziging staat op de [Microsoft 365-roadmap](https://www.microsoft.com/en-us/microsoft-365/roadmap?featureid=570439) onder nummer 570439.

## Een extra klik, geen blokkade

De maatregel doet precies één ding: hij haalt het automatisme eruit. De code wordt niet geweigerd, legitieme codes blijven werken, maar de ontvanger moet zelf besluiten om het beeld te tonen. Dat werkt alleen tegen externe afzenders, want daar ziet Microsoft het grootste risico. Anders dan bij een gewone link zie je bij een QR-code niet waar hij naartoe gaat, en op een telefoon is die controle nog lastiger.

## Dit lost het probleem niet op, het verplaatst de test naar de mens

Onze inschatting: deze functie is nuttig en tegelijk het bewijs dat de techniek hier weinig kan. Wat overblijft is een grijs vlak met een knop eronder, en de vraag of jouw collega die knop indrukt. Dat is geen technische maatregel meer, dat is een oefenvraag. Wie zijn medewerkers nooit heeft laten oefenen met QR-phishing, ruilt straks “klikken zonder nadenken” in voor “onthullen zonder nadenken”.

Er zit ook een praktisch risico in. In organisaties die dagelijks met leveranciers en klanten schakelen, worden externe berichten het vaakst als normaal gezien. Juist daar wordt het grijze vlak binnen twee weken een gewoontehandeling. Bouw dat in je eerstvolgende oefening in: laat de scenario-mail uit een echt bestaande leveranciersrelatie komen, niet van een verzonnen bank.

## Wij pleiten voor oefenen, en oefenen scoort hier zwak

Het lastige deel voor onze eigen kant: een tabletop over QR-phishing meet niet wat je wilt meten. In een oefening zit iedereen op scherp en pakt niemand zomaar zijn telefoon. De handeling die je wilt trainen gebeurt juist op een looproute, tussen twee vergaderingen door, met een privételefoon die buiten je beheer valt. Wie na een geslaagde oefening concludeert dat het personeel dit doorheeft, meet vooral de oefensituatie. Meet daarom liever hoeveel meldingen er binnenkomen dan hoeveel mensen niet scanden.

## Meet of het gemeld wordt, niet wie er scande

Concreet en klein: neem in je volgende oefenronde één scenario op waarin een bestaande leverancier via Teams een afbeelding met een code stuurt, en meet alleen of het gemeld wordt en hoe snel. Geen scorelijst per medewerker. Hoe je die meldstap zonder afrekencultuur inricht, staat in [phishingsimulatie zonder blame-cultuur](https://ransomwaresimulator.nl/phishing-simulatie-zonder-blame-cultuur/), en wat er daarna in het eerste half uur moet gebeuren, staat in [van phishingmelding naar incident in de eerste 30 minuten](https://ransomwaresimulator.nl/phishingmelding-naar-ransomware-incident-eerste-30-minuten/). De verwante aanval waarbij iemand een inlogcode voorleest in plaats van scant, oefen je met [het device-code-scenario](https://ransomwaresimulator.nl/device-code-phishing-ransomware-oefening/).

## De vraag voor oktober: komt die onthul-actie in de logging?

De functie komt volgende maand uit. Daarmee ontstaat er iets nieuws om te meten: het aantal keren dat iemand een verborgen code alsnog onthult. Of dat terugkomt in de auditlogging staat nergens in de aankondiging, en dat is precies wat wij in oktober willen weten. Komt dat getal er, dan zegt het meer over de weerbaarheid van een organisatie dan elke klikratio uit een gesimuleerde mail.