Les codes QR sont partout : horodateurs, tables de restaurant, affiches, colis... et c'est justement pour ça que des escrocs ont commencé à cacher des liens malveillants derrière eux. On appelle ça le "quishing" (phishing par QR), et il suffit de connaître quelques signaux d'alerte pour rester en sécurité.
Qu'est-ce que le quishing ?
Le quishing est une attaque de phishing qui utilise un code QR à la place d'un lien dans un email ou un SMS. Comme un code QR cache sa destination tant que tu ne l'as pas scanné, c'est un moyen facile pour un escroc de te faire visiter une fausse page de connexion, télécharger un malware, ou envoyer un paiement au mauvais compte.
Les signaux d'alerte d'un code QR malveillant
- Un autocollant collé sur un autre code QR, sur un horodateur, une affiche ou un menu : vérifie que le QR n'est pas imprimé sur un autocollant suspect qui recouvre l'original.
- Un code QR apparu de nulle part, dans un email, un SMS ou un mot laissé sur ton pare-brise, surtout s'il exige d'agir dans l'urgence ("payez maintenant ou perdez votre place").
- La pression et l'urgence : amendes, colis non livrés ou offres à durée limitée sont des techniques classiques pour t'empêcher de réfléchir à deux fois.
- Un lien raccourci ou inconnu une fois prévisualisé, au lieu d'un domaine d'entreprise reconnaissable.
Comment vérifier où mène un code QR avant de l'ouvrir
La plupart des appareils photo affichent un aperçu du lien avant de l'ouvrir : lis attentivement le domaine complet avant de toucher l'écran. S'il ne correspond pas à ce que tu attendais (ta banque, la société de stationnement, le restaurant), ne continue pas.
Tu peux aussi utiliser un lecteur de codes QR dédié, comme le scanner en ligne gratuit de LibreQR, pour décoder le code et voir d'abord le lien de destination exact, sans l'ouvrir dans ton navigateur.
Conseils pratiques de sécurité
- Ne saisis jamais de mot de passe, de données de carte bancaire ou d'informations personnelles sur une page atteinte en scannant un QR inattendu.
- Vérifie s'il y a eu une manipulation : le code QR ressemble-t-il à un autocollant posé sur autre chose ?
- En cas de doute, va directement sur l'appli ou le site officiel plutôt que de scanner.
- Garde le système et le navigateur de ton téléphone à jour ; scanner un code n'ouvre presque toujours qu'un lien, mais rester à jour réduit encore le risque.
Questions fréquentes
Un code QR peut-il installer un malware à lui seul ? Sur les téléphones actuels, scanner un code QR ne fait qu'ouvrir un lien ; le vrai danger vient de ce que tu fais sur la page qui s'ouvre ensuite (saisir des identifiants, télécharger un fichier). Vérifie quand même toujours le lien d'abord.
Est-ce sûr de scanner des codes QR au hasard dans la rue ? En général oui, tant que tu vérifies le lien d'aperçu avant de l'ouvrir et que tu restes attentif aux signes de manipulation comme un autocollant ajouté.
Que faire si j'ai scanné un code QR suspect ? Ne saisis aucune information, ferme la page, et si tu as déjà entré des données quelque part, change ce mot de passe immédiatement et surveille tes comptes.
