In Parkhäusern in ganz Luxemburg sind gefährliche QR-Codes aufgetaucht

Cybersicherheitsexperten von LetzSecure (letzsecure.com) haben eine aktive physische Phishing-Kampagne – auch „Quishing“ genannt – aufgedeckt, die sich gegen Autofahrer in Luxemburg richtet. Auf den offiziellen Parkuhren der Stadt tauchen derzeit massenhaft Aufkleber mit der Aufschrift „SCANNEZ ET PAYEZ“ (Scannen und Bezahlen) auf. Diese Aufkleber ahmen eine legitime kontaktlose Zahlungsmethode nach, leiten die Nutzer jedoch auf eine Website eines Drittanbieters weiter, die darauf ausgelegt ist, Finanzdaten in Echtzeit zu stehlen.

Die Verwirrung des Nutzers beginnt mit einer Weiterleitung auf die gefälschte Domain directingtoapps.com, auf der ein betrügerischer Dienst namens ParkPay betrieben wird. Um dem Opfer ein falsches Gefühl der Sicherheit zu vermitteln, ahmt das System das Verhalten eines echten Zahlungsterminals nach: Zunächst werden das Kfz-Kennzeichen und die voraussichtliche Parkdauer abgefragt. Gleichzeitig wird auf dem Bildschirm der Betrag „0 EUR“ angezeigt, der laut Erklärung erst nach Beendigung des Parkvorgangs in Rechnung gestellt wird.

Mit dieser psychologischen Masche können Kriminelle den Karteninhaber dazu bringen, ihnen ungehindert die vollständigen Bankkartendaten, einschließlich Kartennummer, Gültigkeitsdatum und CVV-Sicherheitscode, mitzuteilen. Mit diesen Informationen können sie dann im Namen des Karteninhabers unbefugte Transaktionen durchführen. Es sei darauf hingewiesen, dass dieser Dienst keinerlei Verbindung zu Indigo Neo hat – der offiziellen App, die von den lokalen Behörden genutzt wird.

Seit dem 27. April 2026 wurden an mehreren wichtigen Standorten in der Stadt gefälschte QR-Codes entdeckt. Obwohl die Codes umgehend von den Parkuhren auf dem Parkplatz Glacis entfernt wurden, werden weiterhin manipulierte Aufkleber an folgenden Standorten gemeldet:

• Avenue de la Faïencerie;
• Jean-l'Aveugle-Straße;
• Alfred-de-Musset-Straße;
• Joseph-II.-Boulevard.

Nach dem Vorfall wurden offizielle Meldungen an den Parkdienst der Stadt Luxemburg, das Computer Incident Response Centre (CIRCL) und die Polizei übermittelt. Die Behörden raten Autofahrern dringend davon ab, Codes von Drittanbietern an städtischen Einrichtungen zu scannen, und empfehlen, für Zahlungen ausschließlich die geprüfte App oder die physischen Kartenschlitze an den Parkuhren selbst zu nutzen.