Si vous avez scanné un QR code malveillant, pas de panique : dans la plupart des cas, le scan seul n'a rien causé de grave. Le vrai risque vient de ce qui s'est passé ensuite. Fermez la page, puis vérifiez si vous avez tapé un mot de passe, saisi un numéro de carte, payé, installé une application ou accordé des autorisations, et agissez immédiatement sur chacun de ces points.
D'abord, déterminez ce qui s'est réellement passé
Un QR code n'est qu'un moyen de stocker du texte, le plus souvent une adresse web. Quand votre appareil photo le lit, le téléphone affiche normalement le lien et attend que vous appuyiez dessus. La vraie question n'est donc pas « Ai-je scanné ? » mais « Qu'ai-je fait après le scan ? »
Repensez-y et soyez honnête avec vous-même. Avez-vous :
- Seulement vu l'aperçu, puis fermé sans rien ouvrir ?
- Ouvert une page web sans rien saisir ?
- Tapé un identifiant, un mot de passe ou un code à usage unique sur une page de connexion ?
- Saisi des coordonnées bancaires, un numéro de carte ou des informations personnelles comme votre numéro de pièce d'identité ou votre adresse ?
- Payé, par exemple via un QR code de paiement ou une fausse page de stationnement ou de livraison ?
- Téléchargé et installé une application ou un « profil », ou autorisé des notifications ?
Chaque réponse mène à une étape différente. Si vous n'avez vu que l'aperçu, vous ne risquez presque certainement rien. Si vous avez seulement ouvert une page sans rien taper, le risque est faible, mais quelques vérifications rapides restent utiles.
Étape par étape : que faire tout de suite
Suivez cette liste dans l'ordre. Passez les étapes qui ne vous concernent pas.
- Fermez la page et coupez la connexion si quelque chose cloche. Fermez l'onglet du navigateur. Si un téléchargement a démarré ou si le téléphone se comporte bizarrement, activez le mode avion le temps de vérifier.
- Changez tout mot de passe que vous avez saisi. Faites-le depuis l'application officielle ou en tapant vous-même la vraie adresse du site, jamais depuis un lien de la page suspecte. Si vous utilisez ce mot de passe ailleurs, changez-le là aussi.
- Activez la validation en deux étapes. Ajoutez une application d'authentification au compte que vous venez de sécuriser, pour qu'un mot de passe volé ne suffise plus. Notre guide de l'authentification à deux facteurs explique comment faire.
- Appelez votre banque si vous avez partagé des données bancaires ou payé. Utilisez le numéro au dos de votre carte ou celui de l'application bancaire officielle. Demandez-lui de faire opposition sur la carte, de surveiller les opérations inhabituelles et de vous dire si un paiement peut être contesté ou annulé. La rapidité compte.
- Supprimez tout ce que vous avez installé. Effacez les applications, profils de configuration ou extensions de navigateur inconnus. Sur Android, vérifiez qu'aucune application inconnue ne dispose d'un accès d'accessibilité ou d'administration de l'appareil. Révoquez dans les réglages du navigateur les autorisations de notification accordées à des sites douteux.
- Déconnectez les autres sessions. De nombreux services, dont la messagerie et les réseaux sociaux, permettent de voir les sessions actives et de déconnecter tous les autres appareils. Faites-le après avoir changé le mot de passe.
- Mettez à jour votre téléphone et lancez une vérification de sécurité. Installez les mises à jour système en attente. Sur Android, lancez Google Play Protect ; sur tout téléphone, passez en revue les applications installées récemment.
- Signalez-le. Prévenez la banque, le service dont l'identité a été usurpée et, le cas échéant, la police ou la plateforme nationale de signalement de la cybercriminalité ou des fraudes. Si le QR code se trouvait sur un panneau ou un horodateur, prévenez le commerce ou l'autorité concernés pour qu'ils le retirent.
Si vous avez saisi un mot de passe ou un code à usage unique
Les pages de phishing derrière les QR codes copient généralement un écran de connexion familier : messagerie, transporteur ou banque. Les pirates essaient souvent les identifiants volés immédiatement, parfois en quelques minutes.
Après avoir changé le mot de passe, cherchez dans le compte des signes de modification :
- De nouvelles règles de transfert ou de nouveaux filtres dans votre messagerie
- Un numéro de téléphone ou un e-mail de récupération modifié
- Des appareils ou des lieux inconnus dans l'historique de sécurité ou de connexion
- Des messages envoyés depuis votre compte que vous n'avez pas écrits
Si vous avez tapé sur la fausse page un code reçu par SMS ou généré par une application d'authentification, partez du principe que le pirate a pu s'en servir pour se connecter. Changez le mot de passe, déconnectez toutes les sessions et vérifiez sans attendre les paramètres de récupération.
Si vous avez payé ou partagé votre carte
Contactez votre banque ou votre fournisseur de portefeuille électronique par les canaux officiels dès que possible. Expliquez que vous avez été piégé via un QR code, indiquez l'heure et le montant, et suivez leurs instructions. Conservez des captures d'écran de la confirmation de paiement, du nom du bénéficiaire affiché et de la page sur laquelle vous êtes arrivé.
Surveillez aussi vos relevés dans les semaines suivantes. Les fraudeurs testent parfois une carte avec un petit débit avant d'en tenter un plus important. Si vous avez communiqué votre numéro de pièce d'identité ou votre adresse, méfiez-vous particulièrement des appels, messages ou e-mails qui semblent « vous connaître », car ces informations peuvent rendre de futures arnaques plus convaincantes.
Pour les QR codes de paiement en particulier, lisez comment payer par QR code en toute sécurité, qui explique comment vérifier le nom du bénéficiaire avant de valider.
Si vous avez installé une application ou un profil
Les applications installées hors des boutiques officielles, ainsi que les profils de configuration sur iPhone, peuvent servir à espionner votre activité ou à voler des données. Supprimez-les d'abord, puis vérifiez :
- Les réglages de gestion de l'appareil ou des profils, et supprimez tout ce que vous ne reconnaissez pas
- Les autorisations d'accessibilité et d'administration de l'appareil sur Android, souvent réclamées par les applications malveillantes
- Les autorisations de notification du navigateur, utilisées par les sites frauduleux pour afficher de fausses alertes
Si vous n'arrivez pas à supprimer quelque chose ou si le téléphone continue d'afficher des fenêtres intempestives, sauvegardez vos photos et données importantes et envisagez une réinitialisation d'usine. Réinstallez ensuite vos applications uniquement depuis la boutique officielle.
Comment l'éviter la prochaine fois
Les arnaques au QR code fonctionnent parce que le code masque la destination. Quelques réflexes comblent cette faille :
- Lisez le lien d'aperçu avant d'appuyer. Vérifiez attentivement le domaine : fautes d'orthographe, mots ajoutés.
- Méfiez-vous des QR codes collés par-dessus d'autres codes, surtout sur les horodateurs, les affiches et les terminaux de paiement.
- Ne vous connectez jamais et ne payez jamais sur une page atteinte via un QR code inattendu. Ouvrez plutôt l'application officielle.
- Considérez l'urgence comme un signal d'alerte. « Payez maintenant pour éviter une amende » ou « votre colis va être retourné » sont des techniques de pression classiques.
Si vous avez un doute sur un code, vous pouvez d'abord scanner un QR code en ligne avec QR-TH. Il lit le code dans votre navigateur et affiche la destination avant que quoi que ce soit ne s'ouvre, pour décider à tête reposée. Pour d'autres signaux d'alerte, consultez notre guide sur les arnaques au QR code et le quishing.
FAQ
Scanner un QR code peut-il pirater mon téléphone à lui seul ?
C'est très peu probable. Sur un téléphone à jour, le scan se contente généralement d'afficher du texte ou un lien. Le danger vient normalement de l'ouverture d'une page malveillante, puis de la saisie d'informations, d'un paiement ou d'une installation.
J'ai ouvert le lien sans rien taper. Suis-je en sécurité ?
Le risque est faible. Fermez la page, retirez les autorisations accordées à ce site le cas échéant, et gardez votre téléphone et votre navigateur à jour. Si quelque chose a été téléchargé, supprimez-le sans l'ouvrir.
Dois-je réinitialiser mon téléphone ?
Seulement si vous avez installé quelque chose que vous n'arrivez pas à supprimer ou si le téléphone se comporte anormalement après le nettoyage. Pour des mots de passe ou une carte volés, une réinitialisation ne sert à rien ; changer vos mots de passe et contacter votre banque, si.
À qui signaler une arnaque au QR code ?
À votre banque si de l'argent est en jeu, à l'entreprise dont l'identité a été usurpée, et à la police ou au service officiel de signalement des fraudes de votre pays. Si le code se trouvait sur un panneau public, prévenez le propriétaire de ce panneau.
Un scan suspect est stressant, mais une réaction rapide limite les dégâts dans presque tous les cas. La prochaine fois qu'un code vous semble louche, vérifiez-le avant de l'ouvrir : essayez le lecteur en ligne gratuit de QR-TH pour voir exactement où mène un QR code.