Eén huishouden, één gezinsabonnement

Spotify controleert in sommige gevallen met een QR-code of leden van een Family- of Duo-abonnement echt met de hoofdaccount samenwonen. Het Duitse techmedium heise online berichtte daarover op 20 oktober 2026. De werkwijze staat beschreven op de supportpagina van Spotify.

Premium Family en Duo zijn volgens de voorwaarden van Spotify bedoeld voor mensen op hetzelfde adres. Tot nu toe bevestigden leden dat door hun volledige adres in te voeren. Volgens Spotify wordt het adres alleen voor de verificatie gebruikt en wordt de locatie niet gevolgd.

Zo verloopt de controle

  1. Het lid krijgt een melding dat verificatie nodig is.
  2. De persoon met de hoofdaccount opent in de Spotify-app via de profielfoto het abonnementsoverzicht en kiest daar voor beheren. Daar verschijnt de QR-code.
  3. Het lid scant de code met de camera van de eigen smartphone. Beiden moeten daarvoor op dezelfde plek zijn.
  4. Voor het scannen is er zeven dagen de tijd. Wie die termijn mist, kan volgens Spotify twaalf maanden lang geen ander Family- of Duo-abonnement meer joinen. Een eigen abonnement of de gratis versie blijft mogelijk.

Het scannen werkt alleen in de mobiele app. Bij problemen raadt Spotify aan de app op beide toestellen bij te werken en datum en tijd te controleren. Volgens heise is de controle nog niet voor alle gebruikers verplicht.

Wisselende code beschermt tegen screenshots, niet tegen doorsturen

De QR-code verandert om de paar seconden. Een foto of screenshot die via een messenger wordt verstuurd, is daardoor snel ongeldig. Tegen een live-overdracht helpt dat niet: heise verwijst naar een Reddit-gebruiker die de controle naar eigen zeggen via schermdeling in Microsoft Teams heeft doorstaan.

Dit patroon is bekend uit de IT-beveiliging. Een kortlevende code bewijst alleen dat iemand hem op dat moment kon zien, niet waar die persoon zich bevindt. Dezelfde zwakte misbruiken aanvallers bij het koppelen van apparaten via een QR-code, zoals bij de door het Duitse BSI beschreven methode Ghost Pairing bij WhatsApp (artikel). Bij Spotify gaat het alleen om het abonnementsmodel, niet om een aanval. Het principe is echter hetzelfde.

De echte verificatiecode verschijnt alleen in de Spotify-app op de smartphone van de hoofdaccount. Een QR-code in een e-mail, sms of brief die zogenaamd naar de Spotify-verificatie leidt, past niet bij deze werkwijze. Open bij twijfel de app rechtstreeks in plaats van een code of link uit een bericht te gebruiken.

Waar gebruikers op moeten letten

  • • Scan de verificatiecode alleen rechtstreeks van de smartphone van de persoon met de hoofdaccount.
  • • Voer nooit inloggegevens of betaalgegevens in op een pagina die u via een QR-code uit een bericht hebt bereikt.
  • • Controleer meldingen over verificatie in de app zelf, in het abonnementsoverzicht.
  • • Let op de termijn van zeven dagen om een blokkade van twaalf maanden voor andere gezinsabonnementen te voorkomen.

Onbekende QR-codes controleren vóór het openen

QRTrust toont het volledige doeladres van een QR-code en controleert het vóór het openen tegen meerdere phishing-databases en AI-modellen.

QR-code controleren →

Bronnen

Over QRTrust

QRTrust is het eerste Duitse QR-code-beveiligingsplatform, ontwikkeld in Dortmund. AI-ondersteunde realtime detectie, een lokale dreigingsdatabase en meerlaagse veiligheidscontroles beschermen burgers, overheden en bedrijven tegen quishing-aanvallen. AVG-conform, gehost in Duitsland.