Faux codes QR et quishing : les repérer avant de scanner

Qu'est-ce qu'un faux code QR ?

Un faux code QR est un code QR placé par un escroc qui ouvre une page de phishing, une fausse page de paiement ou un téléchargement au lieu de ce que son emplacement laisse attendre. Le motif est un code QR parfaitement ordinaire - rien dans les carrés ne le signale comme faux. Ce qui rend un code faux, c'est l'endroit où il a été posé et l'endroit où il mène.

Un code QR stocke du texte, et dans presque toutes les arnaques ce texte est une adresse web, la seule chose que contient un code QR URL. Scanner le code n'exécute rien sur le téléphone : l'appareil photo lit l'adresse et propose de l'ouvrir. Le mal commence sur la page qui s'ouvre : une copie de la page de paiement d'un exploitant de stationnement, une page de connexion déguisée en Microsoft 365, un formulaire de nouvelle livraison de colis qui demande des données de carte, ou une invitation à installer une application.

Le FBI a alerté sur ce point dans un avis public du 18 janvier 2022, en indiquant que des criminels altéraient des codes QR numériques comme physiques pour rediriger les victimes vers des sites malveillants qui volent identifiants et données financières. La FTC a renouvelé l'alerte dans un avis aux consommateurs du 6 décembre 2023.

Qu'est-ce que le quishing ?

Le quishing est du phishing mené au moyen d'un code QR plutôt que d'un lien cliquable, un mot que le secteur de la sécurité a formé à partir de QR et de phishing. Le code QR arrive en général dans un e-mail ou une pièce jointe PDF qui imite un expéditeur familier - une réinitialisation de mot de passe, une notification d'authentification multifacteur, un document partagé ou une livraison de colis - et vous demande de le scanner avec votre téléphone.

Le quishing par e-mail fonctionne pour deux raisons techniques. D'abord, le lien se trouve dans une image : le National Cyber Security Centre britannique a relevé en février 2024 que tous les outils de sécurité des e-mails n'analysent pas les images, si bien qu'un lien qui serait bloqué sous forme de texte peut passer sous forme de code QR. Ensuite, le scan fait passer la victime d'un ordinateur de travail à un téléphone personnel, qui, comme l'a souligné Cisco Talos en février 2024, échappe à la plupart des dispositifs de surveillance de sécurité des entreprises.

Les filtres de messagerie rattrapent leur retard. Microsoft a annoncé en novembre 2024 que Defender for Office 365 sait désormais extraire les URL cachées dans les images de codes QR dès le début du flux de messagerie, pour les vérifier comme n'importe quel autre lien. Cela réduit l'écart sans le combler, car le même code peut arriver sous forme de PDF, de lettre ou de SMS.

Un signe distingue la plupart du quishing du courrier légitime : un vrai service vous demande rarement de scanner un code QR affiché dans un e-mail sur votre ordinateur pour vous connecter. Un message qui vous presse de prendre votre téléphone et de scanner, en urgence, pour conserver votre compte est le schéma qui doit vous arrêter.

Où l'on trouve des faux codes QR

Les faux codes QR apparaissent partout où l'on s'attend à payer ou à agir vite sans pouvoir facilement vérifier qui a posé le code. Selon l'évaluation du NCSC de février 2024, la plupart des fraudes aux codes QR se produisent dans des espaces ouverts comme les gares et les parkings. Les cas documentés se concentrent dans quelques situations :

Plusieurs collectivités ont répondu à la fraude au stationnement en déclarant clairement qu'elles n'utilisent pas de codes QR. Kensington and Chelsea a indiqué en janvier 2025 que son système de stationnement n'utilise aucun code QR, et Hartlepool a précisé en mai 2025 que ses horodateurs n'en utiliseront jamais. Un code QR sur une machine dont l'exploitant tient ce discours est faux par définition.

Comment repérer un faux code QR

Repérez un faux code QR en vérifiant trois choses avant de l'ouvrir : si le code est un autocollant posé sur autre chose, si vous vous attendiez vraiment à trouver un code à cet endroit, et si le domaine affiché dans l'aperçu du téléphone appartient à l'organisme auquel vous pensez avoir affaire. La vérification du domaine est celle qui en attrape le plus, parce que c'est la seule qu'un escroc ne peut pas falsifier.

Un domaine est le nom du site web qu'ouvre un lien, la partie située entre https:// et la barre oblique simple suivante. Dans https://parking.example-city.gov/pay, le domaine est parking.example-city.gov ; dans https://example-city.gov.pay-now.io, c'est pay-now.io, quoi qu'en dise le début. Lisez de droite à gauche : c'est la partie juste avant la première barre oblique simple qui décide où vous êtes.

Un cadenas ou un https au début du lien ne signifie pas qu'une page est authentique. Cela veut seulement dire que la connexion est chiffrée, et les pages frauduleuses utilisent https aussi couramment que les vraies.

Comment vérifier un code QR avant de l'ouvrir

Vérifiez un code QR avant de l'ouvrir en lisant le lien que le téléphone vous affiche, sans appuyer dessus. Sur iPhone ou iPad, les instructions d'Apple consistent à pointer l'appareil photo vers le code puis à toucher le lien pour l'ouvrir - c'est entre ces deux étapes que vous le lisez. Les applications photo d'Android et Google Lens affichent en général le lien sous forme de bouton à toucher, ce qui vous laisse le même moment pour le lire.

1. Regardez le code avant de le scanner. Passez un doigt sur le bord du code. Un autocollant posé sur un code imprimé, un code sur une machine qui a son propre lecteur de carte, ou un code sur un avis qui ne porte le nom d'aucun organisme sont des raisons de s'arrêter là.
2. Scannez avec l'appareil photo du téléphone. Utilisez l'application Appareil photo ou Google Lens, pas une application de scan téléchargée. Le FBI et le NCSC conseillent tous deux d'utiliser le lecteur intégré au téléphone.
3. Lisez le domaine dans l'aperçu. Avant de toucher, lisez le domaine que le téléphone affiche. Ce doit être le domaine propre de l'organisme, correctement orthographié, sans rien d'étrange à la suite.
4. Décodez une photo si l'aperçu n'est pas clair. Photographiez le code et ouvrez la photo dans un scanneur de codes QR qui fonctionne dans le navigateur : il affiche le lien complet sous forme de texte sans l'ouvrir.
5. Allez vous-même vers les paiements et les connexions. Si le code mène à un paiement ou à une connexion, fermez-le et tapez l'adresse de l'organisme ou ouvrez son application officielle. Le FBI conseille d'éviter de payer sur un site auquel un code QR vous a conduit.

Le lien complet vaut la peine d'être lu quand l'aperçu n'en montre qu'une partie. Unit 42, l'équipe de recherche de Palo Alto Networks, a relevé en avril 2025 que les applications photo des téléphones n'affichent que le domaine, et que les escrocs font transiter les victimes par des redirections hébergées sur des sites légitimes pour que le premier domaine paraisse inoffensif. KoloQR, un générateur de codes QR gratuit avec des codes QR circulaires et de formes personnalisées, propose un scanneur de codes QR qui lit une capture d'écran ou une photo dans votre navigateur, n'envoie rien, et affiche le lien entier sous forme de texte, y compris tout paramètre de redirection qu'il contient. Pour d'autres façons de lire un code depuis une image, voir comment scanner un code QR depuis une image.

Les codes QR sont-ils sûrs ?

Un code QR est aussi sûr que le lien ou l'action qu'il contient. Scanner un code avec l'appareil photo du téléphone ne fait que lire son texte ; le risque commence quand vous ouvrez le lien, saisissez des informations sur la page, installez une application qu'elle propose, ou validez une action comme rejoindre un réseau Wi-Fi ou lancer un paiement. Un code que vous attendiez, d'un organisme de confiance, sur un support qu'il a imprimé, présente peu de risque.

Les téléphones eux-mêmes ont connu des bugs liés aux codes QR, d'où la mise à jour du système dans la liste de la FTC. En mars 2018, un chercheur a montré que l'application Appareil photo d'iOS 11 pouvait afficher un site dans son aperçu et en ouvrir un autre ; Apple l'a corrigé dans iOS 11.3. Un aperçu fiable suppose un téléphone à jour.

D'autres contenus demandent autre chose qu'un lien. Un code QR Wi-Fi demande à rejoindre un réseau, un code de contact demande à enregistrer une fiche, et un code de téléphone ou de SMS prépare un appel ou un message à envoyer. Lisez ce que le téléphone propose avant d'accepter, exactement comme vous liriez un lien.

Les applications de scan téléchargées ajoutent du risque au lieu d'en retirer. L'avis du FBI de 2022 recommande de ne pas télécharger d'application de lecture de codes QR, puisque la plupart des téléphones en ont déjà une dans l'appareil photo. Un lecteur séparé, c'est une application de plus avec des autorisations sur votre téléphone, et elle ne lit pas les codes mieux que l'appareil photo.

Que faire si vous avez scanné un faux code QR

Si vous avez seulement scanné un faux code QR puis fermé la page, tout va très probablement bien : lire un lien ne donne vos informations à personne. Si vous avez saisi quoi que ce soit sur la page, agissez le jour même, dans l'ordre ci-dessous. L'alerte de la FTC de janvier 2025 donne les mêmes étapes à quiconque a tapé des informations sur une page ouverte par un code QR.

1. Données de carte ou bancaires : appelez le numéro au dos de votre carte et demandez à la banque de la bloquer et de vérifier les paiements récents.
2. Un mot de passe : changez-le sur le vrai site, et sur tous les autres sites où vous utilisez le même. Activez la double authentification.
3. Une application installée : supprimez-la, et cherchez dans les réglages du téléphone tout profil de gestion de l'appareil ou toute autorisation qu'elle aurait ajoutés.
4. Des informations personnelles comme votre adresse ou votre date de naissance : consultez vos rapports de crédit et surveillez vos relevés pour repérer de nouveaux comptes.
5. Signalez-le : à l'exploitant du stationnement ou à la collectivité pour un autocollant, à votre fournisseur de messagerie ou au service informatique de votre employeur pour un e-mail, et aux États-Unis à l'IC3 du FBI ou à la FTC, au Royaume-Uni à Action Fraud.

Si le code se trouvait sur un horodateur, prévenez l'exploitant pour que l'autocollant soit retiré avant le conducteur suivant, et payez votre stationnement par la voie officielle pour ne pas recevoir en plus une vraie amende.

Comment les entreprises peuvent protéger leurs codes QR imprimés

Une entreprise protège ses codes QR imprimés surtout en rendant un autocollant posé dessus facile à remarquer et la vraie destination facile à vérifier. Aucune norme officielle ne couvre ce point ; les mesures ci-dessous sont celles, pratiques, qui découlent du fonctionnement des arnaques au stationnement, et elles valent aussi bien pour un menu que pour un panneau de paiement ou une affiche.

• Imprimez le domaine sous le code. Une ligne comme « Ouvre pay.yourshop.com » donne à la personne qui scanne un élément à comparer avec l'aperçu. Un autocollant devrait aussi recouvrir le texte.
• Intégrez le code à l'impression du panneau au lieu de le coller. Un code imprimé dans le visuel, plastifié ou derrière une vitre trahit immédiatement un remplacement collé par-dessus.
• Inspectez régulièrement les panneaux sans surveillance. Certaines collectivités britanniques qui ont découvert de faux autocollants font désormais vérifier les machines par des agents qui les retirent ; un panneau de paiement que vous ne voyez pas depuis le comptoir mérite la même attention.
• Utilisez votre propre domaine. Un code qui ouvre yourshop.com inspire plus confiance qu'un code qui ouvre un service de liens courts, et il reste sous votre contrôle.
• Indiquez le bénéficiaire sur les panneaux de paiement. Pour un code QR Venmo ou un code QR PayPal, imprimez le nom d'utilisateur à côté du code pour que les payeurs puissent le comparer à la page qui s'ouvre.
• Dites aux clients ce que vous n'utilisez pas. Si vous n'acceptez jamais de paiement par code QR, indiquez-le sur la machine, comme le font désormais plusieurs collectivités.

Les codes statiques sont les plus faciles à vérifier, parce que le lien inscrit dans le motif est la destination finale. Un code dynamique fait d'abord passer chaque scan par une redirection, ce qui est utile quand la destination doit changer mais signifie que le lien visible n'est pas la page qui s'ouvre. Codes QR statiques ou dynamiques explique quand choisir l'un ou l'autre.

Besoin d'un faux code QR pour une maquette ou un test ?

Pour une maquette, un accessoire ou une impression d'essai, utilisez un vrai code QR qui pointe vers une adresse réservée et inoffensive comme https://example.com. La RFC 2606 réserve example.com, example.net et example.org à la documentation : le code se scanne, ouvre une page d'exemple, et ne pourra jamais mener quelqu'un vers un endroit inattendu après un changement de propriétaire du domaine.

Évitez deux raccourcis. Un motif aléatoire de carrés qui n'est pas un code valide paraît faux à quiconque connaît les codes QR et fait patiner le lecteur. Un code qui pointe vers un vrai site qui ne vous appartient pas - ou vers un lien court susceptible d'être réutilisé plus tard - peut envoyer la personne qui scanne votre maquette vers une page que vous n'avez jamais vue.

Le générateur KoloQR crée en quelques secondes un code d'exemple à partir de n'importe quelle adresse, dans la forme et les couleurs du design final, pour que la maquette montre la vraie taille et le vrai rendu. Remplacez-le par le lien définitif avant que le visuel parte à l'impression.