Sur un parcmètre, une borne de recharge ou la vitrine d’un commerce, un autocollant suffit à détourner un paiement. Le carré noir et blanc cache une adresse web que le regard ne peut pas juger avant le scan. La fraude vise le mot de passe, la carte bancaire ou une validation de sécurité. Le bon réflexe consiste à contrôler la destination avant toute saisie.
🔥 Nous recommandons Bitdefender
Après avoir analysé et testé de nombreuses solutions, Bitdefender s’impose comme le choix numéro 1 grâce à sa défense proactive, sa discrétion et son absence d'impact sur les performances. Il protège efficacement vos appareils contre les virus, ransomwares et liens suspects tout en préservant l'autonomie et la rapidité de votre machine.
Sécuriser mes appareils avec BitdefenderCybermalveillance.gouv.fr alerte sur les détournements de codes QR, où le risque des QR codes provient surtout de leur destination cachée. Un visuel crédible peut renvoyer vers une copie de site bancaire, de service public ou d’opérateur. Le scan mérite donc le même niveau de prudence qu’un lien reçu par SMS.
La CNIL rappelle que l’hameçonnage cherche à obtenir des données personnelles ou des secrets de connexion ; ici, l’adresse web avant ouverture devient le point de contrôle central. Un QR code n’est ni sûr ni dangereux par nature : tout dépend de son origine et de l’action qui suit. Cette distinction évite de confondre un simple scan avec une compromission réelle.
Quishing : le QR code piégé remplace le lien frauduleux
Le mot « quishing » associe QR code et phishing, ou hameçonnage. Au lieu d’écrire un lien suspect dans un courriel, l’escroc encode une adresse dans une image ; la destination reste invisible au scan tant que le téléphone ne l’affiche pas. Cette propriété est utile pour partager un menu ou un accès Wi-Fi, mais elle rend aussi le contrôle visuel plus difficile qu’avec une URL lue dans un message.
Le scénario classique repose sur une redirection vers une page qui imite un service connu. Elle peut reproduire les couleurs, le formulaire et les intitulés d’un portail de paiement ; une copie exacte de page officielle n’est pourtant pas nécessaire pour piéger une personne pressée. L’attaquant attend surtout la saisie d’un identifiant, d’un mot de passe, de coordonnées bancaires ou d’un code à usage unique.
Dans les campagnes par courriel professionnel, le code peut figurer dans une image ou dans une pièce jointe PDF. Cette mise en forme déplace l’action vers le téléphone personnel, un appareil parfois moins surveillé que le poste de travail ; les filtres analysent moins facilement une destination dissimulée dans une image que certains liens textuels. Le rapport « State of the Phish 2024 » de Proofpoint a signalé la place croissante des QR codes dans les attaques observées en entreprise, ce qui explique l’attention accrue portée à cette technique.
Le piège peut aussi viser la double authentification. Après le mot de passe, la fausse page réclame un code reçu par SMS ou pousse la victime à approuver une notification ; demande inattendue de code MFA doit arrêter immédiatement la procédure. Selon l’ANSSI, l’authentification multifacteur réduit le risque de prise de compte, mais elle ne protège plus si la personne remet elle-même son mot de passe et son second facteur à un faux site.
Le QR code ne lance pas automatiquement une fraude bancaire à lui seul. La menace augmente par étapes : lecture du code, ouverture du navigateur, interaction avec la page, puis éventuelle transmission de données ; chaque action modifie le niveau de risque. Comprendre cette chaîne aide à réagir sans panique, avec une priorité nette sur la protection du compte lorsque des informations ont été communiquées.
Faux QR codes : les lieux et messages où le piège paraît légitime
Les supports physiques donnent à la fraude une apparence d’authenticité. Une étiquette ajoutée sur une borne de recharge, un horodateur, un menu ou un panneau publicitaire peut sembler appartenir au dispositif ; autocollant ajouté sur le support constitue donc un indice matériel à examiner. Bords qui se décollent, impression de qualité médiocre, alignement approximatif ou code placé sur un autre visuel justifient de renoncer au scan.
Le paiement de stationnement et la recharge électrique créent un terrain favorable, car l’utilisateur veut terminer une action rapide. Face à un doute, il vaut mieux passer par l’application officielle, le terminal de carte ou le site saisi manuellement ; paiement via canal habituel évite de confier la transaction à un support inconnu. Les risques propres à ces équipements sont détaillés dans ce dossier sur les faux QR codes sur les bornes de recharge.
La même logique apparaît dans les faux avis de contravention, de livraison ou de passage laissés sur un pare-brise et parfois reçus par courrier. Le document invoque une somme à régler vite, une majoration ou la perte d’un colis ; message qui impose une urgence cherche à raccourcir la réflexion. Les administrations françaises ne demandent pas de paiement immédiat au moyen d’un QR code reçu de façon imprévue.
Les restaurants ne sont pas exclus, surtout lorsque le menu est consulté via un code posé sur la table. Un code substitué peut conduire vers un faux formulaire de règlement au lieu de la carte du restaurant ; la provenance physique compte autant que l’adresse affichée après lecture. Demander une carte papier, utiliser le site trouvé par recherche ou interroger le personnel sont des alternatives simples lorsqu’un support paraît modifié.
Une vidéo de sensibilisation consacrée aux arnaques par QR code permet de visualiser les vérifications à effectuer avant l’ouverture d’un lien.
Les codes diffusés par SMS, courriel ou messagerie instantanée doivent être traités comme des liens classiques. Un prétendu service client qui réclame une action immédiate, même avec un logo connu, reste suspect ; le support ne prouve rien sur l’identité de son expéditeur. Les réflexes utiles pour analyser l’expéditeur, le ton et la demande complètent ceux présentés dans ce contenu sur le repérage d’un mail frauduleux.
Après le scan d’un QR code malveillant : évaluer le risque réel
Scanner un code puis voir l’aperçu d’un lien ne signifie pas que le téléphone ou le compte est compromis. Dans la majorité des cas, il suffit de ne pas ouvrir l’adresse ou de fermer la page ; scan seul ne suffit pas à donner un mot de passe à un fraudeur. Une infection technique reste possible si une faille du navigateur est exploitée, mais ce scénario est moins courant qu’une collecte par faux formulaire et se limite par les mises à jour du système.
Le danger devient concret lorsque la victime saisit son adresse e-mail et son mot de passe. Les opérateurs testent ensuite ces informations sur le service imité et sur d’autres plateformes ; identifiants réutilisés sur plusieurs services multiplient les conséquences d’une seule erreur. Un mot de passe unique par service, stocké dans un gestionnaire, réduit fortement cet effet de rebond.
La saisie d’un code reçu par SMS, l’approbation d’une notification ou l’usage d’un code de secours aggrave la situation. Le criminel peut alors terminer son propre parcours de connexion pendant que la victime croit confirmer une opération légitime ; validation MFA transfère la session dans certains scénarios de phishing avancé. Cette étape explique pourquoi aucun code de sécurité ne doit être transmis ou validé à la suite d’un scan non sollicité.
| Situation observée | Niveau de risque | Réaction appropriée |
|---|---|---|
| Code lu, lien non ouvert | Faible | Supprimer l’aperçu et examiner le support |
| Page ouverte, aucune donnée saisie | Faible à modéré | Fermer la page, vérifier les mises à jour du téléphone |
| Mot de passe ou identifiants transmis | Élevé | Modifier immédiatement le mot de passe concerné |
| Carte bancaire ou code MFA transmis | Très élevé | Contacter la banque et sécuriser le compte |
Des signes peuvent confirmer une prise de compte : alerte de connexion inconnue, appareil non reconnu, e-mail de récupération modifié, messages envoyés sans autorisation ou opérations bancaires inhabituelles. Ces éléments ne doivent pas être ignorés, car une compromission laisse des traces dans l’historique de sécurité du service. La vérification des appareils connectés et des sessions actives permet souvent d’identifier une intrusion encore en cours.
Le faux site peut aussi chercher à faire installer une application prétendument nécessaire au paiement ou à la lecture du document. Une application téléchargée hors de l’App Store ou de Google Play mérite une vigilance particulière ; installation hors boutique officielle augmente le risque de logiciel espion ou de prise de contrôle. La page doit être fermée, le fichier supprimé et l’appareil examiné si une installation a débuté.
Il faut distinguer le préjudice direct, comme un paiement frauduleux, du préjudice différé. Un compte de messagerie volé peut servir à réinitialiser d’autres accès ou à convaincre des contacts ; la boîte mail devient pivot de la récupération des comptes. Sa sécurisation passe donc avant les services secondaires, surtout si elle reçoit les liens de changement de mot de passe.
Réagir à un quishing : actions immédiates selon les données transmises
Une page douteuse ouverte après un scan doit être fermée sans compléter le formulaire. Il ne faut ni saisir un mot de passe « pour vérifier », ni fournir un numéro de carte, ni approuver une notification ; ne saisissez plus aucune donnée dès que l’adresse ou la demande paraît incohérente. Si aucune information n’a quitté l’appareil, la priorité reste l’observation du téléphone et la mise à jour de son navigateur.
Lorsque le mot de passe a été transmis, le changement doit être effectué depuis l’application officielle ou en saisissant soi-même l’adresse du service dans le navigateur. Il faut choisir un secret neuf, puis contrôler les méthodes de récupération, les appareils reliés et les applications tierces ; révoquez les sessions encore actives afin d’expulser un éventuel intrus. Si ce mot de passe servait ailleurs, les comptes qui l’emploient doivent être corrigés sans attendre.
La transmission de données bancaires impose un contact immédiat avec la banque via le numéro officiel figurant sur la carte ou l’application. L’établissement peut bloquer la carte, examiner les opérations et expliquer les modalités de contestation ; banque doit bloquer les opérations suspectes au plus vite. Il reste utile de conserver les captures du faux site, du QR code et des éventuels messages, sans les rediffuser à des tiers.
- Fermer la page frauduleuse et ne plus interagir avec elle.
- Modifier le mot de passe dès lors qu’il a été transmis.
- Contrôler les appareils, sessions et adresses de récupération.
- Activer ou réinitialiser la double authentification depuis le vrai service.
- Faire opposition si des données de carte bancaire ont été saisies.
- Signaler le support piégé afin d’éviter d’autres victimes.
Les signalements ont une utilité opérationnelle lorsqu’ils donnent l’emplacement précis du support frauduleux. Cybermalveillance.gouv.fr oriente les victimes vers les démarches adaptées, tandis que PHAROS reçoit les signalements de contenus illicites en ligne ; alerte permet le retrait rapide d’un autocollant ou d’une page signalée. En cas de préjudice, le dépôt de plainte via THESEE ou auprès des services compétents documente également la fraude.
Une authentification par application, clé de sécurité ou passkey améliore la résistance au vol de mot de passe, mais elle ne dispense pas de lire ce qui est validé. Les passkeys sont liées au vrai domaine du service, ce qui limite le phishing par faux site ; les passkeys résistent mieux au phishing lorsqu’elles sont proposées par le compte concerné. Leur déploiement doit toutefois s’accompagner d’un contrôle des options de récupération, souvent exploitées après une compromission.
Une seconde vidéo peut servir à rappeler le déroulé d’une réaction à une tentative de phishing, depuis la fermeture de la page jusqu’au signalement.
Un téléphone à jour constitue une protection complémentaire, non une permission de scanner tout support. Les correctifs du système, du navigateur et des applications réduisent l’exposition aux failles connues ; mises à jour limitent l’exploitation technique d’un lien malveillant. Elles ne neutralisent pas une fausse page persuasive, d’où la nécessité de garder le contrôle sur la destination et sur les informations saisies.
Prévenir le quishing en entreprise et dans les services ouverts au public
Pour une organisation, le problème ne se limite pas aux salariés qui reçoivent un code dans un courriel. Les QR codes affichés dans les locaux, sur les véhicules, les supports de communication ou les terminaux de service peuvent être remplacés ; réflexe commun avant chaque scan doit faire partie des consignes de sécurité. Une règle claire consiste à ne jamais utiliser un code inattendu pour ouvrir une session professionnelle ou régler une dépense.
Les équipes qui publient ces codes doivent maîtriser leur inventaire et leur emplacement. Un support intégré à une conception graphique, protégé par un affichage sous vitre ou contrôlé lors de rondes est moins simple à détourner ; supports officiels mieux contrôlés réduisent les opportunités de substitution physique. Il est aussi préférable de communiquer l’URL lisible en complément du QR code, afin que le public dispose d’une autre voie d’accès.
La sensibilisation gagne à s’appuyer sur des scènes crédibles plutôt que sur des consignes abstraites. Une fausse borne de recharge, un menu modifié ou un message de livraison permettent d’expliquer pourquoi l’apparence ne suffit pas ; exercice court fondé sur scénarios ancre mieux le réflexe de vérification. Les campagnes internes doivent préciser que le service informatique ne demande pas de validation MFA à partir d’un QR code reçu par e-mail.
Les outils de messagerie et de protection mobile peuvent compléter la vigilance humaine. Une passerelle de sécurité peut analyser des images jointes, détecter certaines destinations à risque ou mettre en quarantaine des messages suspects ; filtrage réduit certaines campagnes massives sans couvrir tous les codes photographiés dans la rue. La politique de sécurité doit donc articuler filtrage, mises à jour, authentification robuste et remontée rapide des anomalies.
Les responsables de sites recevant du public ont intérêt à prévoir une procédure simple. Lorsqu’un code inconnu est découvert, le support doit être retiré, photographié si nécessaire, puis signalé au gestionnaire concerné ; preuve visuelle facilite l’analyse de l’incident. Une vérification des transactions ou connexions liées au service peut ensuite établir si l’opération a dépassé le stade de la tentative.
Le quishing rappelle une règle plus large : une interface familière ne constitue pas une preuve d’identité. Un code QR est seulement un raccourci vers une action, et cette action doit rester vérifiable ; contrôler avant de transmettre protège autant les comptes personnels que les accès professionnels. Cette discipline réduit aussi l’efficacité du smishing, des faux sites de connexion et des demandes de paiement improvisées.
Un simple scan de QR code peut-il pirater un téléphone ?
Le scan seul ne suffit généralement pas à compromettre un compte. Le risque devient élevé lorsqu’une page frauduleuse reçoit un mot de passe, des coordonnées bancaires ou une validation de double authentification. Garder le système et le navigateur à jour réduit aussi le risque lié à une faille technique.
Comment reconnaître un QR code frauduleux sur une borne ou un menu ?
Un autocollant collé sur un autre code, un support mal imprimé, des bords qui se décollent ou une demande de paiement imprévue sont des signaux d’alerte. Après le scan, il faut lire l’adresse affichée et renoncer si le domaine ne correspond pas exactement au service attendu.
Que faire si un mot de passe a été saisi sur un faux site ?
Changez immédiatement ce mot de passe depuis le site ou l’application officielle, déconnectez les sessions actives et vérifiez les appareils reliés ainsi que les moyens de récupération. Si le même mot de passe est réutilisé, modifiez-le aussi sur les autres services concernés.
Que faire après la saisie de données bancaires ?
Contactez sans délai votre banque par son canal officiel pour faire bloquer la carte ou les opérations suspectes. Conservez les éléments utiles, surveillez le compte et signalez la fraude à Cybermalveillance.gouv.fr, à PHAROS ou via THESEE selon la situation.
