QR codes : pratiques au quotidien, mais pas sans risque
Régler un stationnement, consulter la carte d'un restaurant, recharger sa voiture électrique ou accéder à un document : le QR code s'est glissé dans notre quotidien parce qu'il est rapide et sans effort. C'est précisément ce qui plaît aux escrocs. Cette technique de fraude porte un nom, le « quishing », contraction de « QR code » et de « phishing » (hameçonnage). Elle est signalée par les autorités, notamment Cybermalveillance.gouv.fr, et touche aussi bien les particuliers que les professionnels. Il ne s'agit pas de renoncer aux QR codes, mais de savoir quand et comment les scanner.
1.Pourquoi le QR code est une aubaine pour les escrocs
Un QR code n'est qu'une image qui cache une adresse Internet. Quand vous recevez un lien par courriel ou par SMS, vous pouvez le survoler, repérer une adresse étrange et vous méfier. Avec un QR code, la destination reste invisible tant que vous n'avez pas scanné. À cela s'ajoute un facteur psychologique : un code imprimé sur une borne, une affiche ou une table inspire spontanément confiance, bien plus qu'un courriel douteux. Enfin, l'attaque est peu coûteuse. L'escroc génère un code qui renvoie vers un faux site ou un logiciel malveillant, puis le colle à un endroit crédible ou l'envoie par message. Il suffit ensuite que la victime scanne, puis saisisse des informations personnelles ou bancaires, ou installe ce qu'on lui propose.
2.Où se cachent les faux QR codes
Le piège le plus répandu consiste à coller un autocollant par-dessus un QR code légitime. Des cas ont été relevés en France sur des horodateurs, notamment à Marseille et à Nice, ainsi que sur des bornes de recharge pour véhicules électriques : le faux code renvoie vers une page qui imite le paiement du stationnement ou de la recharge, et récupère les coordonnées bancaires. Les fausses amendes glissées sous un essuie-glace suivent le même principe, avec un QR code censé permettre de régler la contravention. On en trouve aussi dans les courriels, parfois cachés dans une pièce jointe PDF ou une image pour échapper aux filtres, ainsi que sur des menus de restaurant ou des affiches. Gardez en tête qu'un QR code posé sur un horodateur n'est pas forcément frauduleux, certaines villes en installent d'officiels. C'est la vérification qui compte, pas la méfiance systématique.
3.Les réflexes avant et après le scan
Avant de scanner, examinez le support. Un autocollant qui se décolle, un code qui semble posé par-dessus un autre ou une borne visiblement bricolée doivent vous alerter. Passez le doigt dessus : un autocollant se remarque au toucher. Lorsque vous scannez, regardez l'adresse que votre téléphone affiche avant d'ouvrir la page. Elle doit correspondre au service attendu, et un nom approximatif, mal orthographié ou accompagné d'un domaine inhabituel est un signal d'alarme. Pour le stationnement ou la recharge, préférez l'application officielle de l'exploitant, installée à l'avance depuis la boutique d'applications de votre téléphone, ou le paiement direct par carte sur la borne. Pour une amende, saisissez vous-même l'adresse du site officiel plutôt que de passer par le code. Ne renseignez jamais vos coordonnées bancaires sur une page ouverte via un QR code sans avoir vérifié son adresse. Évitez aussi d'installer une application proposée après un scan, sauf si vous l'avez vous-même cherchée sur la boutique officielle. Gardez enfin votre téléphone à jour et ouvrez un QR code reçu par courriel avec la même prudence qu'un lien suspect : une administration ne réclame pas de paiement urgent par QR code non sollicité.
4.Que faire si vous avez été piégé, et ce que doivent faire les professionnels
Si vous avez scanné un code puis saisi des informations bancaires, faites opposition à votre carte sans attendre et contactez votre banque. Changez ensuite les mots de passe que vous auriez entrés, en commençant par ceux que vous réutilisez ailleurs, et surveillez vos comptes dans les jours qui suivent. Si vous avez installé une application, désinstallez-la, lancez une analyse de votre téléphone et, en cas de doute, faites-le contrôler. Déposez plainte et signalez les faits sur Cybermalveillance.gouv.fr, qui propose aussi une aide pour les victimes. Si vous avez seulement scanné sans rien saisir, le risque est plus faible, mais restez attentif aux messages inhabituels les jours suivants. Les entreprises qui affichent des QR codes, par exemple sur un comptoir, une vitrine, une table ou une facture, ont leur part à jouer. Vérifiez régulièrement que personne n'a collé un autocollant par-dessus, indiquez l'adresse en toutes lettres à côté du code pour permettre une comparaison et expliquez à vos clients et à vos équipes comment vérifier avant de scanner. Le QR code reste un outil pratique : un coup d'œil de quelques secondes avant de scanner suffit à éviter l'essentiel des pièges.
