Fraude met QR-codes op eventtickets komt bijna altijd neer op één zwakte: een statische QR-code is gewoon een beeld, dus een screenshot ervan scant precies als het origineel, voor altijd. Niets in een statische code vertelt de deur dat hij al is gebruikt, dus een fraudeur kan een geldig ticket screenshotten en het beeld aan tien mensen verkopen. De oplossingen doen allemaal hetzelfde op een andere manier. Ze zorgen dat de code geen herbruikbaar beeld meer is. Dit is een beveiligingsstuk, geen marketingstuk. Het verschil tussen een statische en een beheerde code is het hele verhaal.
Voor de marketingkant van eventlinks, badges en opvolging is URL-verkorters voor events het bijpassende stuk. Dit artikel gaat alleen over het ticket aan de deur en de fraude die erop mikt.
Waarom statische ticket-QR-codes worden misbruikt
Een statische QR-code bevat vaste gegevens. Scan hem duizend keer en hij zegt duizend keer hetzelfde. Hij weet niet dat hij al eerder is gescand. Dat maakt een screenshot juist gevaarlijk: de kopie is byte voor byte het origineel, dus hij haalt elke controle die het origineel ook haalt.
De fraudepatronen volgen uit dat ene feit. Een koper maakt een screenshot van zijn ticket en verkoopt het beeld door. Eén geldig ticket wordt er aan de deur meerdere, en wie het eerst komt, mag naar binnen terwijl de echte koper wordt teruggestuurd. Het vergt geen vernuft, alleen een schermafbeelding, en daarom zijn statische codes bij evenementen met veel vraag een blijvend doelwit. Het staat ook los van quishing en kwaadaardige QR-codes; dit is het dupliceren van een legitieme code, geen vijandige.
Verdediging 1: dynamische codes voor eenmalig scannen
Een dynamische QR-code bevat de ticketgegevens niet zelf. Hij bevat een korte redirect die de organisator beheert. Elke scan is een verzoek dat het systeem in realtime ziet. Dat verandert alles: het ticket kan worden gemarkeerd als gebruikt op het moment dat het voor het eerst wordt gevalideerd, en elke latere scan van dezelfde code, origineel of screenshot, wordt geweigerd.
Dit is de belangrijkste oplossing, omdat ze de kern van de fraude verslaat zonder extra hardware. De eerste geldige scan wint; de kopieën mislukken. Je krijgt er scananalytics bij, dus je ziet de toegangstijden en merkt het op als een code herhaaldelijk wordt geprobeerd, wat zelf een fraudesignaal is.
Voor de meeste events zou ik hier stoppen en het daarbij laten.
Verdediging 2: roterende codes en handtekeningen
Voor waardevolle tickets komen er twee lagen bovenop. Een roterende code ververst op een korte timer, vaak ongeveer elke 15 seconden, zodat het beeld dat een fraudeur screenshot al verouderd is voordat iemand het kan hergebruiken. De code op het scherm om 8:00 is niet de code van 8:01. Een screenshot is waardeloos voor doorverkoop.
De hoogbeveiligde opstellingen van 2026 voegen een cryptografische handtekening toe die elke code aan een specifieke koper, een apparaat en een moment bindt. Toon een kopie en de handtekening klopt niet, dus het systeem weigert hem zelfs als de timing zou kloppen. Roterend plus ondertekend is waarom openbaar vervoer en premium eventticketing pogingen tot dubbele toegang sterk kunnen terugdringen. De meeste events hebben dit niveau niet nodig, maar het is het plafond dat je moet kennen.
Wat een korte-linklaag wel en niet doet
Hier is de eerlijke grens. Een laag met korte links en dynamische QR-codes geeft je de eerste verdediging netjes: een code die via een redirect loopt die jij beheert, elke scan server-side vastlegt en na de eerste geldige toegang als gebruikt kan worden gemarkeerd, plus de analytics om misbruik in de gaten te houden. Alleen dat maakt een einde aan de alledaagse fraude van screenshotten en doorverkopen.
Een volledig ticketingplatform is het niet. Roterende codes op een timer van 15 seconden en cryptografische handtekeningen per ticket zijn functies van een gespecialiseerd ticketingsysteem, niet van een URL-verkorter, en het zou oneerlijk zijn om anders te suggereren. Gebruik de dynamische, meetbare redirect als laag voor eenmalig scannen, en grijp naar een gespecialiseerd ticketingproduct als je roterend plus ondertekend nodig hebt voor een waardevolle ingang. Weten welke laag je echt nodig hebt, is het grootste deel van de strijd.
Lees de cornerstone-reeks
Dit artikel hoort bij het industrieënscluster. Het bijbehorende eventstuk is URL-verkorters voor events; voor het onderliggende mechanisme zie dynamische versus statische QR-codes.
Verwant op de blog
Veelgestelde vragen
Hoe ontstaat fraude met QR-codes op tickets?
Bijna altijd via screenshots van statische codes. Een statische QR-code is een vast beeld, dus een screenshot ervan scant precies als het origineel, voor altijd. Fraudeurs maken een screenshot van een geldig ticket en verkopen of delen het beeld, en elke kopie komt door de scanner omdat niets de deur vertelt dat het ticket al is gebruikt. De zwakte zit niet in het QR-formaat, maar in het feit dat een statische code een herbruikbaar beeld is.
Hoe voorkom je fraude met QR-codes op tickets?
Zorg dat de code geen herbruikbaar beeld meer is. Drie verdedigingen doen dat: een dynamische code die je na de eerste geldige scan als gebruikt markeert, zodat duplicaten worden geweigerd; een roterende code die om de paar seconden ververst, zodat een screenshot verloopt voordat hij kan worden hergebruikt; en een cryptografische handtekening die het ticket aan een koper en een moment bindt. Praktijkopstellingen die deze combineren, melden forse dalingen in pogingen tot dubbele toegang.
Kan een QR-codeticket worden gescreenshot en hergebruikt?
Een statisch ticket wel: de screenshot is identiek aan het origineel en scant eindeloos. Een dynamische code voor eenmalig scannen niet: zodra de eerste geldige scan hem als gebruikt markeert, wordt elke latere kopie geweigerd. Een roterende code ook niet: het beeld verloopt binnen seconden, dus een screenshot is verouderd tegen de tijd dat iemand hem wil hergebruiken. De verdediging hangt volledig af van het type code op het ticket.
Wat is een roterende QR-code?
Een QR-code die op een korte timer ververst, vaak ongeveer elke 15 seconden, dus de code op het scherm om 8:00 is niet die van 8:01. Omdat een screenshot maar één moment vastlegt, is hij seconden later nutteloos. Roterende codes zijn gebruikelijk in het openbaar vervoer en bij waardevolle eventtickets, juist omdat ze doorverkoop van screenshots verslaan zonder dat de bezoeker iets hoeft te doen.
Zijn dynamische QR-codes veiliger dan statische voor tickets?
Ja, aanzienlijk. Een statische code bevat vaste gegevens en kan niet weten of hij al eerder is gescand. Een dynamische code loopt via een redirect die de organisator beheert, dus elke scan wordt in realtime vastgelegd en het ticket kan na de eerste geldige toegang als gebruikt worden gemarkeerd. Die controle op eenmalig scannen maakt van een kopieerbaar beeld een eenmalig bewijs.
Probeer Elido
Plak een URL, krijg een werkende korte link
Geen aanmelding nodig. Link blijft 30 dagen actief. Meld je aan om hem voor altijd te bewaren.
Geen account nodig. Meld je gratis aan voor 50 links per maand.