Une arnaque au QR code, souvent appelée quishing, utilise un QR code pour vous envoyer vers un faux site qui vole vos mots de passe, vos coordonnées bancaires ou votre argent. Comme un QR code ne se lit pas à l'œil nu, les escrocs y cachent des liens malveillants. La meilleure défense est simple : vérifiez toujours l'aperçu du lien avant d'ouvrir ou de payer.
Les QR codes sont pratiques, et c'est justement pour cela que les fraudeurs les apprécient. Voici comment fonctionne le quishing et comment le repérer.
Qu'est-ce que le quishing ?
Le mot quishing est la contraction de « QR » et de « phishing » (hameçonnage). Le phishing désigne toute ruse qui consiste à se faire passer pour un organisme de confiance, comme une banque, un transporteur ou une administration, afin de vous soutirer des informations sensibles. Le quishing fonctionne de la même façon, mais le faux lien est transmis par un QR code au lieu d'un lien cliquable.
Cette technique marche pour plusieurs raisons :
- Vous ne voyez pas le lien. Un QR code a exactement la même apparence, qu'il mène à votre banque ou à une copie frauduleuse.
- Il vous fait passer sur votre téléphone. Sur un petit écran, il est plus difficile d'examiner la barre d'adresse ou de remarquer un nom de domaine légèrement mal orthographié.
- Il peut échapper aux filtres. Les filtres des e-mails et messageries repèrent bien les liens suspects dans un texte, mais un lien caché dans une image est plus difficile à détecter.
- On fait confiance aux QR codes. Nous en scannons tous les jours au restaurant ou en magasin, alors nous prenons rarement le temps de réfléchir.
Dans de nombreux pays, des organismes de protection des consommateurs et des banques ont mis le public en garde contre la fraude au QR code, en particulier les faux codes sur les horodateurs, les affichettes de paiement et dans les e-mails.
Où se cachent les arnaques au QR code
Le quishing peut apparaître presque partout où l'on s'attend à trouver un QR code. Les endroits les plus fréquents :
- Des autocollants sur du mobilier urbain. Un faux code collé par-dessus le vrai sur un horodateur, une borne de recharge, une station de vélos en libre-service ou un arrêt de bus.
- Les comptoirs de paiement. Un QR code de paiement remplacé dans une boutique ou sur un marché, qui envoie l'argent à l'escroc au lieu du commerçant.
- Les e-mails. Des messages prétendant que votre mot de passe expire, qu'un document doit être signé ou que votre compte est bloqué, avec un QR code pour « régler le problème ».
- Les courriers et avis de passage. De faux avis de colis non livré ou des lettres d'apparence officielle qui vous demandent de scanner un code et de payer de petits frais.
- Les flyers et affiches. Des offres trop belles pour être vraies, comme des cadeaux gratuits ou des réductions énormes, qui mènent à une fausse boutique ou à un formulaire de collecte de données.
- Les réseaux sociaux et messageries. Des codes partagés dans des groupes ou en message privé, souvent avec un sentiment d'urgence.
Pour des scénarios plus détaillés, consultez notre guide sur les arnaques au QR code les plus courantes.
Les signes d'un faux QR code
Pas besoin de compétences techniques pour repérer la plupart des arnaques. Soyez attentif à ces signaux d'alerte :
- Un autocollant posé sur un autre code. Passez le doigt sur le code. S'il est en relief, se décolle sur les bords ou paraît plus récent que l'affiche qui l'entoure, méfiez-vous.
- Un lien qui ne correspond pas. L'aperçu affiche un domaine qui n'est pas celui de l'organisme, avec une orthographe étrange ou une longue suite de caractères aléatoires.
- L'urgence ou les menaces. « Votre compte sera fermé aujourd'hui » ou « payez dans l'heure » sont des techniques de pression classiques.
- Une demande d'identifiants ou de carte bancaire. Un horodateur, un menu ou un avis de passage n'a quasiment jamais besoin de votre mot de passe bancaire.
- Un téléchargement d'application inattendu. Soyez très prudent si un QR code vous demande d'installer une application, surtout en dehors de la boutique officielle.
- Un QR code dans un e-mail qui vous demande de vous connecter. Les services légitimes vous laissent en général vous connecter en allant directement sur leur site ou leur application.
- Un mauvais nom de bénéficiaire au moment de payer. Si le nom affiché dans votre application bancaire n'est pas celui du commerce que vous payez, arrêtez-vous.
Comment se protéger des arnaques au QR code
De bonnes habitudes rendent le quishing beaucoup moins efficace. Voici une liste pratique :
- Lisez d'abord l'aperçu. Votre appareil photo affiche le lien avant de l'ouvrir. Prenez deux secondes pour lire le domaine.
- En cas de doute, passez par l'accès direct. Au lieu de scanner, tapez vous-même l'adresse du site de l'entreprise ou ouvrez son application officielle.
- Vérifiez le bénéficiaire avant de payer. Les applications bancaires indiquent qui va recevoir l'argent. Assurez-vous qu'il s'agit bien du commerce. Notre guide sur le paiement par QR code en toute sécurité détaille ce point.
- Ne saisissez jamais de mot de passe après avoir scanné un code inconnu. Si une page vous demande de vous connecter, fermez-la et passez par l'application officielle.
- Activez la double authentification. Même si un mot de passe est volé, une application d'authentification ajoute une seconde barrière.
- Maintenez votre téléphone à jour. Les mises à jour de sécurité corrigent des failles que des pages malveillantes pourraient exploiter.
- Utilisez un lecteur qui affiche un aperçu sûr. En cas de doute, scannez le code avec un outil qui montre la destination avant d'ouvrir quoi que ce soit.
Sur QR-TH, chaque lien court est vérifié auprès de Google Safe Browsing au moment de sa création, puis revérifié chaque nuit. Les visiteurs peuvent aussi voir une page de chargement qui indique où mène un lien avant qu'il ne s'ouvre. Ces outils aident, mais ils sont surtout efficaces combinés à votre propre vigilance.
Que faire si vous avez scanné un faux QR code
Si vous vous rendez compte que vous avez ouvert une page suspecte, agissez vite mais calmement :
- Fermez la page et ne saisissez plus rien.
- Si vous avez tapé un mot de passe, changez-le immédiatement sur le vrai site, ainsi que partout où vous utilisiez le même.
- Si vous avez saisi des coordonnées bancaires, contactez votre banque sans attendre, au numéro figurant sur votre carte ou dans l'application officielle.
- Si vous avez installé une application, désinstallez-la et lancez la vérification de sécurité de votre téléphone.
- Signalez le code au commerce ou au lieu concerné pour qu'il le retire, et aux autorités compétentes si vous avez perdu de l'argent.
Notre guide pas à pas sur que faire après avoir scanné un QR code malveillant va plus loin.
Conseils pour les entreprises
Si vous affichez des QR codes, vous pouvez compliquer la tâche des escrocs. Inspectez régulièrement vos codes imprimés à la recherche d'autocollants, formez votre personnel à repérer les manipulations et utilisez des QR codes dynamiques sur un domaine que vous contrôlez, afin de suivre les statistiques de scan et de mettre à jour les liens rapidement. Indiquer le nom de votre entreprise à côté des codes de paiement aide aussi vos clients à vérifier qu'ils paient la bonne personne.
FAQ
Scanner un QR code peut-il pirater mon téléphone ?
Le simple fait de scanner un QR code ne pirate pas votre téléphone. Le danger vient de ce que vous faites ensuite : visiter un faux site, saisir des informations ou installer une application. Vérifiez toujours le lien avant de l'ouvrir.
Comment savoir si un QR code est faux ?
Cherchez les autocollants posés sur d'autres codes, lisez attentivement l'aperçu du lien et méfiez-vous de toute page qui réclame un mot de passe, une carte bancaire ou un paiement urgent. En cas de doute, allez directement sur le site officiel.
Les QR codes reçus par e-mail sont-ils sûrs ?
Redoublez de prudence. Un QR code dans un e-mail qui vous demande de vous connecter, de vérifier un compte ou de payer des frais est une technique de phishing courante. Rendez-vous directement sur le service au lieu de scanner.
À qui signaler une arnaque au QR code ?
Prévenez le commerce ou le lieu où vous avez trouvé le code, contactez votre banque si de l'argent ou des données bancaires sont en jeu, et signalez les faits à la police ou à l'autorité de protection des consommateurs de votre pays.
Le quishing compte sur les gens qui scannent sans réfléchir. Une pause de deux secondes pour lire le lien suffit souvent à rester en sécurité. La prochaine fois qu'un code vous semble douteux, utilisez le lecteur de QR code en ligne de QR-TH pour voir où il mène vraiment avant de l'ouvrir.