Arnaque au QR code (quishing) : le piège qui se cache dans un carré
Faux QR code sur un parcmètre, dans un email ou sur une borne : le quishing détourne un geste devenu banal. Voici comment reconnaître et éviter l'arnaque au QR code.
Scanner un QR code est devenu un réflexe : menu de restaurant, paiement de stationnement, suivi de colis, billetterie. Les escrocs l'ont compris et détournent ce geste. On appelle cela le quishing, contraction de QR code et de phishing. Le principe est simple et redoutable : un QR code ne montre pas où il mène, ce qui en fait un masque parfait pour un lien frauduleux.
Où se cache le faux QR code
Le faux QR code se glisse là où le geste est attendu et automatique. Sur un parcmètre ou une borne de stationnement, un autocollant frauduleux recouvre le vrai, et renvoie vers une fausse page de paiement qui capture votre carte. Dans un email, un QR code remplace le lien piégé classique pour contourner les filtres anti-hameçonnage. Sur une fausse amende ou un faux avis de passage glissé dans la boîte aux lettres, il mène vers un site qui imite un service officiel.
Le point commun est toujours le même : le QR vous amène sur une page qui vous demande de payer ou de saisir des informations personnelles, alors que vous pensiez accomplir un geste anodin.
Un QR code ne révèle jamais à l'oeil nu vers où il pointe. Avant de saisir le moindre paiement ou la moindre donnée après avoir scanné, vérifiez l'adresse du site affichée, et méfiez-vous si elle ne correspond pas exactement au service attendu.
Les signaux d'alerte
- Un QR code qui mène vers une page de paiement ou un formulaire demandant vos données.
- Une adresse de site étrange, raccourcie, ou qui imite un service connu sans être le bon.
- Un autocollant qui semble ajouté ou recouvrir un autre, sur une borne ou un parcmètre.
- Un QR reçu dans un email ou un courrier non sollicité.
- Une urgence ou une amende à régler immédiatement après le scan.
Le bon réflexe
Après avoir scanné un QR code, prenez le temps de lire l'adresse du site avant d'agir. Pour un paiement de stationnement, privilégiez l'application officielle que vous installez vous-même, plutôt qu'un QR collé sur la borne. Pour un email contenant un QR code, soyez aussi méfiant que face à un lien : ne payez pas et ne saisissez rien sans vérifier.
En cas de doute sur l'adresse vers laquelle un QR vous a conduit, vous pouvez la coller dans notre analyseur.
Un QR code vous a mené sur une page douteuse ? Collez son adresse dans l'analyseur.
Vous avez déjà payé ou saisi vos informations
Si vous avez renseigné vos coordonnées bancaires sur la page ouverte par un faux QR code, contactez votre banque pour faire opposition et bloquer la carte, puis surveillez vos comptes. Conservez une trace de l'endroit où se trouvait le QR code, surtout s'il s'agissait d'une borne publique, et signalez le faux autocollant à l'exploitant et aux autorités.
Voici comment réagir si vous avez saisi vos données après un scan.
Garder le bon réflexe
Le QR code reste pratique et le restera. Il suffit de lui appliquer la même prudence qu'à un lien : ce n'est pas parce qu'il est imprimé sur un support physique qu'il est forcément légitime. Un coup d'oeil à l'adresse avant de payer, et le quishing perd toute sa puissance.