Door majortom: Misschien dat ze een timestamp in de QR code verwerken (waarbij de app checkt of die niet meer dan x seconden afwijkt tov de systeemtijd), zodat je in ieder geval een replay attack minimaliseert. Als de eigenaar van veilig-inloggen-bol.com dit automatiseert (indien tools als Modlishka, Muraena, Evilgenx2 of CredSniper het doorzetten van QR-codes niet out-of-the-box ondersteunen, zouden zij hiervoor aangepast kunnen worden) is de vertraging een fractie van een seconde, verwaarloosbaar met de afwijking die systeemklokken kunnen hebben en de tijd dat het duurt voordat omalief haar smartphone op de juiste manier voor het scherm heeft gehouden en de OK knop heeft gevonden. Door majortom: Ook zou de QR code gepresenteerd aan de ene persoon niet bruikbaar moeten zijn voor de andere; ook oplosbaar (verwerk account in de QR code). Dat user-ID heeft omalief of ik even daarvoor ingevoerd op veilig-inloggen-bol.com, die dat namens omalief of mij heeft ingevoerd op bol.com - waarna bol.com de QR-code met ...