Vous sortez votre téléphone portable pour consulter un tarif ou payer un service. Un lien s'affiche, tu cliques dessus et, quelques secondes plus tard, une page te demande les détails de ta carte bancaire. Comment savoir si tu es bien arrivé là où tu devais aller ?
Les QR codes nous évitent de taper du texte. C’est précisément ce dont profitent les escrocs : la destination est dissimulée dans un motif que nous ne pouvons pas déchiffrer à l’œil nu. Un environnement familier, un logo ou notre précipitation peuvent faire en sorte que le clic suivant semble aller de soi.
Le rapport Microsoft Digital Defense Report 2026 fait état de plus de 145 millions de détections d’attaques de hameçonnage via des codes QR par Microsoft Defender for Office 365, entre juillet 2025 et juin 2026. Il s’agit de détections au sein de ce système spécifique, et non d’un nombre équivalent de victimes ou de pertes financières avérées.
Qu’est-ce que le « quishing », en termes simples ?
C’est du phishing qui utilise un QR code pour vous mener dans un piège. Au lieu d’un lien dans un message, vous voyez un petit carré qui peut se trouver sur un papier imprimé, un autocollant ou un écran. La page qui s'ouvre peut imiter un service connu et vous demander des informations.
Le fait que l’appareil photo ait reconnu un code ne garantit pas l’identité de son créateur. Sur l’iPhone, par exemple, l’application Appareil photo affiche un lien vers le contenu reconnu. La reconnaissance et l’ouverture du lien sont des étapes qui nécessitent de la prudence.
L'autocollant qui peut modifier la destination
La FTC américaine a mis en garde contre des cas où des escrocs ont recouvert les QR-codes des horodateurs avec leur propre code. Cette mise en garde ne signifie pas que tous les QR-codes présents dans les lieux publics sont suspects. Elle montre toutefois pourquoi il faut également prêter attention à l’emplacement physique où il se trouve.
Vérifiez s’il y a un deuxième autocollant par-dessus l’original, une application bâclée ou une incohérence avec le reste de la signalisation. Une impression nette ne suffit pas à elle seule pour faire confiance à un code. Si quelque chose vous semble suspect, demandez à la personne responsable plutôt que d’essayer d’effectuer le paiement « juste pour voir ».
Les cinq vérifications à effectuer avant de communiquer des informations
- Réfléchissez au contexte. Vous attendiez-vous à ce QR code ? Est-il lié à ce que vous essayez de faire ou est-il apparu soudainement, accompagné d’une menace, d’un cadeau ou d’un problème prétendument urgent ?
- Vérifiez l’adresse réelle. Lorsqu’un aperçu s’affiche, lisez-le. Soyez attentif aux petites modifications de lettres. Si l’adresse est tronquée ou si vous ne comprenez pas la destination, utilisez un autre lien.
- Vérifiez si la demande a du sens. Pourquoi un simple affichage de catalogue nécessiterait-il un mot de passe de messagerie ? Pourquoi une brochure d’information demanderait-elle l’installation d’une application ?
- Ne te fie pas uniquement à l'apparence. Un logo copié ne prouve pas l’identité d’une entreprise. Le protocole HTTPS ne garantit pas non plus que l’entreprise derrière la page soit légitime : il indique simplement que la connexion est cryptée.
- Vérifiez auprès d’une source fiable. Pour les comptes et les paiements, ouvrez l’application que vous utilisez déjà ou rendez-vous sur l’adresse officielle que vous connaissez. N’appelez pas le numéro indiqué dans le message suspect.
Un exemple du quotidien qu’il est bon de garder à l’esprit
Imaginez que vous vous trouviez dans un magasin et que vous scanniez un code pour consulter le catalogue. La page vous demande d’abord de vous connecter avec votre adresse e-mail et votre mot de passe. La question n’est pas de savoir si l’écran a l’air professionnel. Il s’agit plutôt de se demander pourquoi ces informations sont nécessaires pour une action aussi simple.
Demande au personnel si c’est bien la procédure à suivre. Une brève précision peut t’éviter bien plus de tracas.
Si tu as déjà scanné, vérifie ce que tu as fait exactement
- Tu n’as vu que l’aperçu : ne continue pas vers une destination douteuse. L’apparition d’un lien ne prouve pas qu’il y ait eu intrusion.
- Vous avez ouvert une page sans fournir d’informations : fermez-la. N’acceptez aucun téléchargement, aucune installation ni aucune autorisation. Le simple fait de l’avoir ouverte ne suffit pas pour conclure que votre compte a été piraté.
- Vous avez communiqué votre mot de passe : connectez-vous via le service officiel, modifiez-le et vérifiez l’activité, les appareils connectés et les informations de récupération. Modifiez-le également partout où vous l’utilisiez.
- Vous avez fourni vos informations de paiement ou validé une transaction : contactez immédiatement votre banque via un canal officiel et expliquez-lui ce qui s'est passé.
- Vous avez installé un logiciel : votre appareil doit être vérifié. N’installez pas d’« outil de nettoyage » supplémentaire proposé par ce même site suspect.
Dans ses instructions relatives aux comptes piratés, Google recommande de vérifier les événements de sécurité, les appareils et les informations de récupération. Changer de mot de passe est important, mais vous devez également vérifier ce qui a pu changer d’autre.
Si vous utilisez des codes QR dans votre entreprise
Aidez le client à savoir ce qu’il va ouvrir : indiquez à côté du code l’adresse officielle et son objectif. Vérifiez les supports imprimés sur place et testez le parcours après chaque modification. N’ajoutez pas d’étapes superflues qui demandent des informations sans raison valable.
Photo illustrative : Markus Winkler / Unsplash. Elle ne représente pas un cas de fraude avéré.