QR code piégé : quels risques, et comment ne pas se faire avoir

Un QR code ne peut pas infecter votre téléphone

Commençons par écarter la crainte la plus répandue. Un QR code n'est pas un programme, ne contient pas de virus et ne s'exécute pas. C'est une image, et cette image contient du texte — le plus souvent une adresse web. Scanner ne « lance » rien : le téléphone lit le texte et vous propose une action, que vous confirmez ou non.

Autrement dit, le QR code n'est pas plus dangereux qu'un lien écrit sur un bout de papier. Ce qui peut être dangereux, c'est l'endroit où ce lien mène — exactement comme pour un lien reçu par e-mail ou par SMS.

Le vrai risque : le « quishing »

Le mot est une contraction de QR et de phishing (hameçonnage). Le principe est identique à celui d'un e-mail frauduleux : vous amener sur une page qui imite un site légitime, pour vous faire saisir un mot de passe, un numéro de carte bancaire ou des informations personnelles.

Le QR code apporte un avantage à l'attaquant : il masque l'adresse. Dans un e-mail, un lien suspect se repère en survolant. Dans un carré de modules noirs et blancs, aucun humain ne peut lire quoi que ce soit avant de scanner. La vérification arrive donc plus tard — au moment où le téléphone affiche l'adresse.

Les arnaques les plus fréquentes

Les scénarios observés se ressemblent beaucoup, et reposent tous sur un contexte où payer vite paraît normal :

• Le faux parcmètre : un autocollant sur l'horodateur invite à « payer son stationnement en ligne ». La page demande une carte bancaire, qui part directement chez l'escroc.
• La fausse amende : un papillon glissé sous l'essuie-glace, avec un QR code pour régler immédiatement une contravention qui n'existe pas.
• Le faux avis de livraison : un carton dans la boîte aux lettres annonce un colis en attente et propose de payer des « frais de douane » de quelques euros — le montant est faible pour ne pas éveiller les soupçons.
• Le faux menu ou la fausse borne : un QR code posé sur une table ou une borne de recharge, menant vers une page de paiement contrefaite.
• Le faux WiFi : un QR code affiché dans un lieu public connecte à un réseau contrôlé par un tiers, qui peut alors observer une partie du trafic non chiffré.
• Le QR code dans un e-mail : envoyé en pièce jointe ou en image pour contourner les filtres anti-hameçonnage, qui analysent les liens mais rarement les images.

Les six réflexes qui suffisent

Aucun de ces réflexes n'est technique. Ils tiennent en quelques secondes et couvrent la quasi-totalité des tentatives :

1. Lisez l'adresse que votre téléphone affiche avant de confirmer. C'est le geste le plus important, et le seul vraiment indispensable.
2. Vérifiez le nom de domaine, pas le reste de l'adresse. Ce qui compte est ce qui précède le premier « / » — le reste peut contenir n'importe quel mot rassurant.
3. Méfiez-vous des adresses mal orthographiées ou inhabituelles : une lettre ajoutée, un tiret de trop, une extension exotique.
4. Sur un QR affiché dans l'espace public, passez le doigt sur le support : un autocollant collé par-dessus se sent, et souvent se voit à contre-jour.
5. Ne saisissez jamais de moyen de paiement ni de mot de passe sur une page ouverte depuis un QR code que vous n'avez pas sollicité.
6. Face à un QR code demandant de régler une amende, une taxe ou des frais : n'utilisez pas le code. Rendez-vous vous-même sur le site officiel de l'organisme concerné.

Comment repérer un QR code collé par-dessus un autre

C'est le mode opératoire le plus répandu, parce qu'il est le moins coûteux : ni impression massive, ni envoi d'e-mails, juste quelques autocollants posés au bon endroit. Trois indices, dans l'ordre de fiabilité :

• Le relief. Un autocollant se sent au doigt : un bord qui rebique, une légère surépaisseur, un coin qui se décolle.
• L'alignement. Un QR ajouté après coup est rarement parfaitement droit ni parfaitement centré dans son cadre imprimé.
• La cohérence graphique. Le vrai QR est généralement imprimé dans le même passage que le reste du support : même teinte de noir, même papier, même finition. Un autocollant tranche.

Dans le doute sur un parcmètre, une borne ou un panneau officiel : ne scannez pas. Ces organismes ont tous un site officiel accessible directement, et aucun ne dépend d'un carré collé sur du mobilier urbain.

Côté commerçant : protéger ses propres QR codes

Si vous affichez des QR codes, vous êtes aussi une cible : un autocollant posé sur votre vitrine détourne vos clients et abîme votre réputation, pas celle de l'escroc. Quelques précautions simples changent beaucoup :

• Intégrez le QR au support imprimé plutôt que de le coller. Un code imprimé dans la masse est bien plus difficile à recouvrir proprement.
• Ajoutez votre logo au centre et une mention lisible autour (« Menu de La Table d'Alice »). Un client qui connaît l'apparence attendue repère l'anomalie.
• Plastifiez ou vernissez les supports exposés à l'extérieur : un autocollant adhère mal sur une surface brillante et se retire d'un ongle.
• Contrôlez visuellement vos supports régulièrement, surtout ceux en accès libre sur la voie publique.
• Utilisez un QR dynamique : si un support est compromis, vous pouvez rediriger le vrai code vers une page d'avertissement le temps de remplacer l'imprimé.

Le choix du prestataire compte aussi. Un service sérieux valide les adresses de destination avant publication et refuse celles qui pointent vers des ressources internes ou déjà signalées comme malveillantes. Cela n'empêche pas un autocollant physique, mais cela empêche votre propre compte de servir, par erreur ou après un piratage, de relais vers une page frauduleuse.

Que faire si vous avez déjà scanné

Avoir scanné n'est pas avoir été victime. Tant que vous n'avez rien saisi ni installé, il ne s'est probablement rien passé : fermez simplement la page. Si en revanche vous êtes allé plus loin, agissez dans cet ordre :

1. Si vous avez saisi des données bancaires : appelez immédiatement votre banque pour faire opposition, avant toute autre démarche.
2. Si vous avez saisi un mot de passe : changez-le sur le vrai site, ainsi que partout où vous utilisiez le même.
3. Si vous avez installé une application : désinstallez-la, puis vérifiez les autorisations accordées récemment dans les réglages du téléphone.
4. Signalez le QR frauduleux au gestionnaire du lieu, et l'adresse sur la plateforme de signalement officielle de votre pays.