Le code QR s'est imposé partout : menus, horodateurs, bornes de recharge, courriers, colis. Les escrocs l'ont bien compris. Le quishing, contraction de « QR » et de « phishing », désigne l'hameçonnage par code QR : au lieu d'un lien piégé dans un e-mail, la victime scanne un code qui l'envoie vers un faux site. L'objectif reste le même : voler des identifiants, des coordonnées bancaires ou faire installer une application malveillante. Voici comment reconnaître un code QR frauduleux et adopter les bons réflexes.
Pourquoi le code QR intéresse les fraudeurs
Un code QR présente une particularité : on ne peut pas lire sa destination à l'œil nu. Là où un lien écrit peut paraître suspect au premier coup d'œil, un code QR inspire spontanément confiance, surtout lorsqu'il est affiché dans un lieu public ou sur un document qui semble officiel. Par ailleurs, un code QR glissé dans un e-mail est une simple image : certains filtres anti-spam, conçus pour analyser des liens textuels, le détectent moins facilement. Enfin, le scan se fait sur téléphone, où l'écran réduit rend plus difficile la vérification de l'adresse.
Les scénarios les plus courants
L'autocollant posé par-dessus le vrai code
C'est la technique la plus répandue dans l'espace public. Un faux code QR est collé sur un horodateur, une borne de recharge pour véhicule électrique, un panneau d'information ou une table de restaurant. Le scan mène à une page imitant le service de paiement officiel, qui encaisse le montant et récupère au passage les données de la carte. Les autorités et les collectivités françaises ont régulièrement mis en garde contre ces faux autocollants sur les horodateurs.
Le code QR reçu par e-mail ou par courrier
Un message prétend venir de votre banque, d'un service administratif, de votre employeur ou d'un transporteur. Il vous demande de scanner un code pour « sécuriser votre compte », « valider une authentification » ou « régler des frais de livraison ». Le code mène à une fausse page de connexion. Des variantes existent par courrier papier, avec de faux avis de contravention ou de faux courriers d'organismes.
La vente entre particuliers
Sur une plateforme de petites annonces, un faux acheteur envoie un code QR censé permettre de « recevoir le paiement ». En réalité, il mène vers une page qui demande les coordonnées bancaires complètes du vendeur, voire déclenche un paiement dans le mauvais sens.
Le faux code QR d'application
Un code invite à télécharger une application en dehors des boutiques officielles. Sur Android notamment, installer un fichier provenant d'une source inconnue peut donner à un logiciel malveillant l'accès aux SMS ou aux notifications.
Les signes qui doivent vous alerter
- Un autocollant visiblement rapporté, mal aligné, qui recouvre un autre code ou présente des bords décollés.
- Un code QR reçu sans que vous ayez rien demandé, accompagné d'un message pressant (« dernier rappel », « compte suspendu », « sous 24 heures »).
- Une adresse qui ne correspond pas à l'organisme annoncé, contient des fautes, des tirets ou des chiffres inhabituels, ou utilise un service de liens raccourcis inattendu.
- Une page qui réclame d'emblée un paiement, un mot de passe ou un code reçu par SMS.
- Une demande d'installer une application ou un profil de configuration.
Comment se protéger au quotidien
- Lisez l'adresse avant de l'ouvrir. L'iPhone comme les téléphones Android affichent le lien détecté avant de l'ouvrir. Nos tutoriels pour scanner un code QR sur iPhone et sur Samsung montrent où le trouver.
- Inspectez le support. Passez le doigt sur le code : un autocollant superposé se sent. Dans le doute, n'utilisez pas le code.
- Préférez le canal officiel. Pour payer un stationnement, régler une facture ou vous connecter à votre banque, passez par l'application officielle ou tapez vous-même l'adresse du site.
- Ne saisissez pas de données sensibles sur une page atteinte par un code QR dont vous n'êtes pas certain de l'origine.
- Gardez votre téléphone à jour et n'installez des applications que depuis l'App Store ou Google Play.
- Activez la double authentification sur vos comptes importants : un mot de passe volé devient alors beaucoup moins exploitable.
Vous avez scanné un code QR suspect : que faire ?
Gardez votre calme : afficher une page web, à lui seul, met rarement en danger un smartphone à jour. Tout dépend de ce que vous avez fait ensuite.
- Vous n'avez rien saisi : fermez la page et supprimez l'historique de navigation récent.
- Vous avez saisi un mot de passe : changez-le immédiatement, ainsi que sur tous les sites où vous l'utilisez, et activez la double authentification.
- Vous avez saisi des coordonnées bancaires : contactez sans attendre votre banque pour faire opposition et surveillez vos relevés.
- Vous avez installé une application : désinstallez-la et faites vérifier l'appareil si vous constatez un comportement anormal.
Pour être accompagné et signaler l'escroquerie, la plateforme publique Cybermalveillance.gouv.fr propose des fiches pratiques et une assistance aux victimes. Un contenu frauduleux en ligne peut aussi être signalé sur la plateforme Pharos du ministère de l'Intérieur, et un SMS frauduleux transféré au 33700. En cas de préjudice, un dépôt de plainte reste recommandé.
Les réflexes à partager avec vos proches
Les personnes moins à l'aise avec le smartphone sont souvent les plus exposées, parce qu'elles font confiance à ce qui ressemble à un document officiel. Quelques règles simples, faciles à retenir, suffisent à éviter la plupart des pièges :
- Une banque, un service des impôts ou un transporteur ne demande jamais de scanner un code QR pour « débloquer » un compte ou un colis.
- On ne paie pas un stationnement ou une amende à partir d'un code QR trouvé sur place sans avoir vérifié l'adresse du site.
- Au moindre doute, on ferme la page et on passe par l'application ou le numéro de téléphone que l'on connaît déjà.
- Un message qui crée l'urgence est une raison de ralentir, pas d'accélérer.
Vous diffusez des codes QR ? Rassurez votre public
Les entreprises, collectivités et associations ont aussi un rôle à jouer :
- Imprimez l'adresse en clair sous le code QR, pour que chacun puisse vérifier la destination.
- Faites pointer vos codes vers votre propre nom de domaine, facile à reconnaître.
- Intégrez le code dans le visuel imprimé plutôt que de le coller en autocollant, et vérifiez régulièrement vos supports en libre accès.
- Ne demandez jamais de paiement ou d'identifiants dès l'arrivée sur la page.
Avec Code QR Creator, vous créez un code QR gratuit à vos couleurs, avec votre logo et un cadre explicite : un code identifiable est plus difficile à imiter et plus rassurant à scanner.
