Ik werd opgelicht op een ziekenhuisparkeerplaats door deze sluwe parkeertruc die iedereen verrast. Zo kun je jezelf beschermen.

Terwijl ik op de parkeerplaats stond van een ziekenhuis waar ik nog nooit eerder was geweest, vlak voor mijn afspraak voor een invasieve scan, was ik gespannen, opgewonden en – zoals later zou blijken – kwetsbaar.

Maar terwijl ik probeerde uit te zoeken hoe ik voor het parkeren moest betalen, maakte de angst voor de scan plaats voor paniek dat ik mijn afspraak zou missen.

Omdat ik tot de conclusie was gekomen dat ik een app nodig had, zocht ik snel de naam van het parkeerbedrijf, Apcoa Connect, op Google. Deze naam stond op het bord van de parkeerplaats.

Ik klikte op wat ik dacht dat de juiste site was. 'Eureka! Dat was makkelijk,' dacht ik, terwijl ik mijn naam, e-mailadres, telefoonnummer en adres zo snel als mijn vingers het toelieten intikte. Toen de instructie kwam om Apple Pay te gebruiken – via een bankpas die op mijn telefoon was opgeslagen – klikte ik op de knop.

Maar een seconde later schoot er een steek van angst door me heen. 'Wacht eens even,' dacht ik. 'Waarom vraagt ​​de app niet waar ik geparkeerd sta?'

Vrijwel tegelijkertijd piepte mijn telefoon. Er verscheen een bericht van mijn bank met de waarschuwing dat er een verdachte transactie op mijn rekening had plaatsgevonden.

En zo werd ik één van de steeds grotere groep mensen die opgelicht werd op parkeerplaatsen bij ziekenhuizen.

De vormen van oplichting kunnen verschillen, maar het resultaat is hetzelfde: mensen oplichten, van wie velen zich op het dieptepunt van hun leven bevinden en hun geld afhandig maken.

Ik had geluk dat mijn bank de betaling verdacht vond en snel actie ondernam. Ik annuleerde de kaart, maar dat weerhield het 'bedrijf' waar ik me had aangemeld er niet van om me herhaaldelijk £ 40,56 in rekening te brengen. Later ontdekte ik dat dit voor een gamedienst was waar ik automatisch voor was aangemeld.

Andere automobilisten hebben flink wat geld verloren. Emma Bovey verloor bijna £150 na een bezoek aan de parkeerplaats van het Totnes Hospital in Devon afgelopen november. Ze had een QR-code gescand om te betalen voor haar parkeerbeurt, maar realiseerde zich niet dat criminelen een valse QR-code over de echte hadden geplakt – een steeds populairdere oplichtingspraktijk die bekendstaat als 'quishing'.

Wanneer mensen 'de kwaadaardige QR-code scannen met een smartphone, worden ze doorgestuurd naar een frauduleuze website die is ontworpen om hun persoonlijke of financiële gegevens te stelen', legt Oliver Chan uit, universitair hoofddocent criminologie aan de Universiteit van Birmingham. 'De gestolen informatie wordt vaak gebruikt om fraude te plegen.'

De oplichters hebben Emma's rekening leeggeplunderd voor £146,79 en probeerden nog eens £849 af te troggelen, maar dat is niet gelukt, vertelde Emma aan de BBC, want 'gelukkig had ik niet zoveel op mijn rekening staan'. Het ziekenhuis zei dat de valse QR-code na het incident was verwijderd en dat de parkeerplaats 'nauwlettend in de gaten werd gehouden'.

Veel andere ziekenhuisparkeergarages zijn op deze manier het doelwit geweest. Volgens gegevens van de Freedom of Information Act (FOI) zijn in de periode tot april 2025 minstens 20 NHS-ziekenhuisparkeergarages getroffen door fraude met quishing. Het werkelijke aantal ligt echter mogelijk hoger, aangezien veel parkeergarages door particuliere bedrijven worden beheerd. Bovendien vallen particuliere ziekenhuizen niet onder de FOI-regels, dus het aantal getroffenen is onbekend.

Quishing is zo wijdverbreid dat Action Fraud, het nationale meldpunt voor slachtoffers van fraude, in juni een waarschuwing uitvaardigde om 'QR-codes te controleren op kwaadaardigheid of manipulatie voordat u ze online of in openbare ruimtes scant'. Iain Swaine, fraudestrateeg bij Outseer, een bedrijf dat fraudepreventieoplossingen voor banken biedt, zegt: 'Als je goed kijkt, ziet een valse QR-code eruit als een sticker die over iets anders is geplakt of waarmee is geknoeid.'

Tussen april 2024 en april 2025 ontving Action Fraud meldingen van £ 3,5 miljoen aan verloren gegane fraudezaken, waarvan het grootste deel bij parkeergarages betrof.

Volgens Oliver Chan zijn ziekenhuisparkeerplaatsen een ideaal doelwit voor criminaliteit. Veel parkeerterreinen zijn 'onbewaakt of onvoldoende bewaakt, vooral 's nachts'. Hierdoor is het 'makkelijker voor mensen om valse QR-codes te plaatsen en betaalautomaten te manipuleren'.

Maar er is nog een andere, duistere reden waarom criminelen zich op ziekenhuisparkeerplaatsen richten.

'Er zit een element van psychologie achter oplichting, en de teams die erachter zitten, weten dat oplichting het beste werkt als mensen zich op hun dieptepunt bevinden,' aldus Iain Swaine.

'Mensen zijn vaak afgeleid op parkeerplaatsen bij ziekenhuizen. Ze hebben misschien een ziek kind of een zieke partner, of ze zijn zelf ziek of wat ouder en minder voorzichtig dan normaal', legt hij uit.

'De oplichter ziet dat als een kans. Dit zijn geen aardige mensen.'

Dat blijkt uit hun tactiek.

Op een dag in december vorig jaar werd een man van in de tachtig voor £1.000 opgelicht nadat hij op de parkeerplaats van het Royal Stoke University Hospital werd aangesproken door iemand met een kaartlezer die hem vertelde dat hij met de handmachine moest betalen. De man gaf zijn kaart af, die volgens de 'parkeerwachter' niet werkte, en ging er vervolgens mee vandoor. Het bedrag van vier cijfers stond later die dag op de rekening van de bejaarde man.

Diezelfde dag werd een andere man van in de zeventig op soortgelijke wijze opgelicht in het County Hospital in Stafford, slechts 25 kilometer verderop.

Volgens Iain Swaine weten de boeven dat ze maar beperkt de tijd hebben om winst te maken.

'Bij quishing plakken ze de sticker er 's nachts op en proberen ze de eerste 5.000 mensen te bereiken voordat de sticker wordt geblokkeerd. Daarna gaan ze door naar de volgende locatie.'

Of ze schakelen over op een andere vorm van oplichting, zoals het sturen van sms'jes of WhatsApp-berichten waarin mensen een boete eisen voor een parkeerovertreding op een ziekenhuisparkeerplaats. Het bericht bevat ook een valse betaallink.

Criminelen verkrijgen gestolen persoonlijke gegevens op het dark web en gebruiken deze vaak om mensen van een bepaalde leeftijd te targeten.

'Oudere mensen hebben vaker een ziekenhuis bezocht en denken dan: "Misschien heb ik dat wel gedaan", zegt Iain Swaine. In juni waarschuwde de University Hospitals Sussex NHS Foundation Trust na 'verschillende meldingen' van de oplichting, waarbij mensen berichten ontvingen van een mobiel nummer met de 'locatie van het ziekenhuis bovenaan'.

Lees meer

Nog een andere tactiek, zegt Oliver Chan, is het skimmen van kaarten. Hierbij wordt een nepstrip in de machine gestoken 'om de magneetstrip van de kaart te klonen en zo de kaartgegevens te stelen'.

De oplichterij waar ik in trapte, volgens Iain Swaine, wordt gerund door bendes die betalen om advertenties voor hun site bovenaan de Google-zoekresultaten te plaatsen. 'Mensen klikken meestal gewoon op wat er als eerste in hun zoekopdracht verschijnt en beginnen dan hun gegevens in te vullen', zegt hij.

Met andere woorden: iemand had betaald voor een advertentie die leek op de naam van de parkeer-app die ik op Google zocht. In mijn verwarde toestand klikte ik daarop in plaats van op de echte app.

Maar ze waren er niet alleen op uit om de parkeerkosten te stelen. Binnen enkele minuten ontving ik een e-mail van het bedrijf waarin stond dat ik me had aangemeld voor een 'alles-in-één digitale mediadienst' die onbeperkte toegang bood tot een 'enorme catalogus met games'. Dit betekende dat ze zouden proberen om elke maand £40,56 van mijn rekening af te schrijven.

Volgens Iain Swaine geeft het aanbieden van een 'dienst' hen een 'aura van legitimiteit'.

'Sommige mensen merken niet eens wat ze hebben gedaan en toch blijven er regelmatig betalingen van hun rekening afgeschreven.'

Hij zegt dat ik geluk heb gehad dat mijn bank heeft opgemerkt dat het een ongebruikelijke transactie was.

Voor mij werd de hele situatie nog erger toen ik in het ziekenhuis aankwam en besefte dat ik als patiënt alleen maar mijn kenteken hoefde te registreren bij de receptie – ik hoefde helemaal geen parkeerkosten te betalen. Maar een les die ik geleerd heb: denk na voordat je betaalt.

1. Gebruik alleen geautoriseerde parkeerapps (zoals RingGo, PayByPhone, JustPark) die u downloadt in officiële app stores (niet via links in sms-berichten of e-mails), zegt Oliver Chan, universitair hoofddocent criminologie.

2. Controleer of een QR-code eruitziet als een sticker op borden of machines, en niet als onderdeel van het officiële bord.

3. Als u via een machine betaalt, controleer dan op tekenen van manipulatie (bijv. losse kaartlezers, toetsenbord dat vreemd aanvoelt).

4. Reageer nooit op een sms-bericht over een boete of parkeerovertreding. Deze berichten worden alleen per post verzonden of gepresenteerd als een bekeuring die op de auto is achtergelaten, adviseert de British Parking Association. Het bericht bevat ook de exacte gegevens van uw auto en kenteken – en wanneer en waar de overtreding plaatsvond; een bericht over oplichting niet.

5. Als je vermoedt dat je bent opgelicht, sluit dan direct je browser of verwijder de app om de toegang van criminelen tot je gegevens te beperken, zegt beveiligingsexpert Iain Swaine. 'Meld de oplichting onmiddellijk bij je bank en/of Action Fraud', voegt Oliver Chan toe.