Microsoft Teams gaat afbeeldingen met een QR-code die van buiten de eigen organisatie komen standaard vervagen. Gebruikers moeten de afbeelding eerst zelf zichtbaar maken voordat ze de code kunnen bekijken of scannen. De maatregel moet phishing via QR-codes, ook wel quishing genoemd, lastiger maken.
Wat verandert er in Teams?
Zodra een externe gebruiker een bericht met een QR-code-afbeelding stuurt, verschijnt die afbeelding vervaagd in het gesprek. De ontvanger kan de afbeelding met één handeling onthullen als hij of zij de afzender vertrouwt. Het gaat om berichten van mensen buiten de eigen tenant, bijvoorbeeld via externe toegang of gastgebruikers.
Microsoft benadrukt dat een vervaagde code niet betekent dat Teams de inhoud als kwaadaardig heeft aangemerkt. De bedoeling is vooral dat gebruikers bewuster omgaan met QR-codes uit onbekende bron.
Waarom QR-codes een risico vormen
Bij een QR-code zie je niet waar de link naartoe leidt voordat je hem scant. Aanvallers maken daar gebruik van om slachtoffers naar nagemaakte inlogpagina's of schadelijke downloads te sturen. Omdat het scannen vaak met een privételefoon gebeurt, vallen zulke aanvallen buiten de beveiliging van het bedrijfsnetwerk.
Teams is hiervoor extra aantrekkelijk, omdat berichten van externen vaak als zakelijk en betrouwbaar worden ervaren. Door de afbeelding standaard te verbergen, komt er een korte denkpauze voordat iemand de code gebruikt.
Wanneer wordt dit uitgerold?
De uitrol is aangekondigd in het berichtencentrum onder nummer MC1470410 (roadmap-item 570439). Volgens de laatste versie van 6 oktober 2026 is de planning als volgt:
- Targeted Release: half oktober 2026 (eerder: begin oktober)
- Wereldwijde beschikbaarheid: eind oktober 2026 (eerder: half oktober)
De functie komt naar Teams voor Windows, Mac, het web, Android en iOS.
Wat moeten beheerders doen?
Er is volgens Microsoft geen actie nodig vóór de uitrol, en de functie staat standaard aan. In de aankondiging staat geen instelling om de vervaging uit te schakelen. Wel adviseert Microsoft om voorbereidingen te treffen:
- Informeer gebruikers dat QR-codes van externen vervaagd kunnen verschijnen.
- Herinner hen eraan de afzender te controleren voordat ze een afbeelding onthullen of scannen.
- Pas de documentatie van de helpdesk aan op de nieuwe weergave.
- Frisse het bestaande voorlichtingsmateriaal over QR-phishing op.
Wat betekent dit voor gebruikers?
Voor gewone gebruikers verandert er weinig: een vervaagde afbeelding is met één klik te tonen. Het risico is dat mensen dit uit gewoonte meteen doen. Controleer daarom eerst of je de afzender verwacht en of de context klopt. Is een QR-code bedoeld om in te loggen, een betaling te doen of een document te openen, wees dan extra voorzichtig en benader de afzender via een ander kanaal.
Wat kun je hieruit meenemen?
Teams voegt een lichte maar nuttige beveiligingslaag toe: QR-codes van externe afzenders zijn standaard vervaagd en moeten bewust worden zichtbaar gemaakt. De functie wordt vanaf half oktober 2026 uitgerold en is vanaf eind oktober wereldwijd beschikbaar.
De maatregel is geen vervanging voor gedegen beveiliging. Een vervaagde code is niet per definitie veilig of onveilig, en gebruikers blijven zelf verantwoordelijk voor het beoordelen van de afzender. Organisaties doen er goed aan hun medewerkers tijdig te informeren, zodat de nieuwe weergave geen verwarring of onnodige helpdeskvragen oplevert.
