Les codes QR sont devenus si courants que nous les scannons presque sans réfléchir. Et c’est justement pour cela que les cybercriminels ont commencé à les utiliser pour tromper les gens. Cette technique a un nom : le quishing, contraction de QR et de phishing. Dans cet article, nous vous expliquons comment fonctionnent ces arnaques, comment les reconnaître et ce que vous pouvez faire pour vous protéger, que vous scanniez des codes ou que vous les utilisiez dans votre entreprise.
Qu’est-ce que le quishing
Le quishing est un type de fraude dans lequel un code QR mène à une fausse page conçue pour voler des données personnelles, des mots de passe ou des informations bancaires, ou pour encaisser un paiement indu. Contrairement à un lien dans un e-mail, un code QR n’affiche pas l’adresse au premier coup d’œil, ce qui rend la tromperie plus difficile à détecter avant de l’ouvrir.
Les arnaques les plus courantes
Autocollants sur des codes légitimes
Les escrocs collent un autocollant avec un faux code par-dessus le code d’origine sur des horodateurs, des bornes de recharge, des cartes de restaurant ou des affiches. L’utilisateur croit payer son stationnement, mais saisit ses données bancaires sur un site frauduleux.
Faux e-mails et faux courriers
Des messages qui imitent une banque, une société de livraison, l’administration ou le service informatique de votre entreprise et incluent un code QR pour « vérifier votre compte », « payer des frais en attente » ou « reprogrammer une livraison ». Comme le code est une image, certains filtres de messagerie ne l’analysent pas.
Paiements vers le mauvais compte
Dans les paiements par QR, le faux code peut mener à une passerelle qui transfère l’argent à l’escroc.
Téléchargement d’applications malveillantes
Des codes qui promettent une application utile (d’un événement, d’un restaurant, d’un service public) mais mènent au téléchargement d’une app en dehors des magasins officiels.
Signaux d’alerte
| Signal | Ce qu’il peut indiquer |
|---|---|
| Autocollant superposé ou mal découpé | Faux code collé sur l’original |
| Adresse web étrange ou avec des fautes | Imitation d’un site légitime |
| Urgence (« payez aujourd’hui ou vous perdrez… ») | Pression typique des arnaques |
| Demande de mot de passe ou de données bancaires dès l’ouverture | Page de phishing |
| QR dans un e-mail inattendu | Possible quishing par e-mail |
| Raccourcisseurs de liens inconnus | Masquent la destination réelle |
Conseils pour les utilisateurs
- Regardez le code avant de scanner. S’il ressemble à un autocollant posé sur un autre code ou s’il se décolle, méfiez-vous.
- Vérifiez l’adresse affichée par le téléphone avant de l’ouvrir. Assurez-vous que le domaine est bien celui attendu.
- Ne saisissez ni mot de passe ni données bancaires sur une page atteinte via un QR si vous n’êtes pas totalement sûr.
- Utilisez les applications officielles pour payer le stationnement, les transports ou les services publics, plutôt qu’un code dans la rue.
- Méfiez-vous des QR dans les e-mails inattendus. Si une banque ou une entreprise vous demande quelque chose, allez sur son site en tapant vous-même l’adresse.
- Téléchargez les applications uniquement depuis l’App Store ou Google Play.
- Gardez votre téléphone à jour, pour bénéficier des dernières protections de sécurité.
Conseils pour les entreprises
Si vous utilisez des codes QR dans votre entreprise, vous pouvez aussi protéger vos clients :
- Vérifiez régulièrement vos codes sur les tables, les affiches et les vitrines pour repérer des autocollants étrangers.
- Imprimez les codes directement sur le support (sur la carte, sur l’affiche) plutôt que d’utiliser des autocollants faciles à remplacer.
- Affichez votre domaine à côté du code, par exemple « votresite.com/carte », pour que le client puisse vérifier que la destination correspond.
- Ajoutez votre logo et les couleurs de votre marque : un code personnalisé est plus difficile à imiter qu’un code générique.
- Utilisez votre propre domaine dans les liens chaque fois que possible.
- Informez votre équipe pour qu’elle signale tout code suspect.
Que faire si vous êtes tombé dans une arnaque
- Contactez immédiatement votre banque pour bloquer la carte ou l’opération.
- Changez les mots de passe que vous avez saisis, en commençant par votre messagerie et votre banque en ligne.
- Activez la validation en deux étapes sur vos comptes importants.
- Signalez la fraude aux autorités de votre pays et, si cela s’est produit dans un établissement, prévenez le responsable.
- Surveillez vos opérations pendant les semaines suivantes.
Les codes QR sont-ils dangereux ?
Non. Un code QR n’est pas plus dangereux qu’un lien : c’est simplement un moyen d’ouvrir une adresse. Le risque réside dans la destination, pas dans le code. Avec quelques habitudes simples, comme vérifier l’adresse et se méfier des autocollants et des e-mails inattendus, vous pouvez continuer à profiter de leur praticité en toute sécurité.
Questions fréquentes
Scanner un code QR peut-il infecter mon téléphone ?
Le scan en lui-même n’installe rien. Le danger apparaît si vous ouvrez une page frauduleuse et téléchargez un fichier ou saisissez des données. Vérifiez toujours la destination avant de l’ouvrir.
Comment savoir si un code QR est sûr ?
Vérifiez l’adresse affichée par le téléphone, l’état physique du code et le contexte. Si quelque chose ne colle pas, ne l’ouvrez pas.
Les codes créés sur QRcrea sont-ils sûrs ?
Les codes que vous créez avec le générateur de QRcrea mènent exactement à la destination que vous indiquez. La sécurité de la destination dépend du lien que vous choisissez.
Conclusion
Le quishing exploite la confiance que nous accordons aux codes QR, mais il est facile à éviter avec un peu d’attention : vérifiez l’adresse avant de l’ouvrir, méfiez-vous des autocollants et des e-mails inattendus et ne saisissez pas de données sensibles si vous n’êtes pas sûr. Si vous avez une entreprise, personnalisez vos codes, affichez votre domaine et vérifiez-les régulièrement. Créez des codes à votre image avec le générateur de codes QR de QRcrea.
Prêt à créer votre code QR ?
Personnalisez-le avec vos couleurs et votre logo, et téléchargez-le gratuitement en quelques secondes.
