Un QR code dangereux ne se reconnaît pas à son dessin : un faux QR code peut être visuellement identique à un code légitime. Pour éviter le piège, il faut vérifier son support, le contexte dans lequel il apparaît et surtout l’adresse web affichée par le téléphone avant d’ouvrir le lien.
Dans la rue, méfiez-vous notamment d’un autocollant ajouté sur un horodateur, une borne de recharge, un menu ou une affiche officielle. Sur un écran, un QR code reçu dans un e-mail, un SMS ou une messagerie doit éveiller les soupçons s’il vous pousse à payer, à vous connecter ou à agir dans l’urgence.
Le réflexe essentiel est simple : scanner ne signifie pas cliquer. Lorsque le téléphone affiche l’adresse de destination, prenez quelques secondes pour examiner le nom de domaine avant de poursuivre.
En bref
- Il est impossible de savoir si un QR code est dangereux uniquement en observant sa matrice.
- Vérifiez qu’aucun autocollant n’a été ajouté par-dessus un QR code officiel.
- Examinez le nom de domaine affiché par votre téléphone avant d’ouvrir le lien.
- Méfiez-vous des QR codes qui réclament immédiatement un paiement, un mot de passe ou des informations bancaires.
- HTTPS et un logo officiel ne garantissent pas qu’un site est légitime.
- En cas de doute, utilisez directement le site ou l’application officielle plutôt que le QR code.
Quels sont les signes d’un QR code dangereux ?
Il n’existe pas de détail graphique permettant de certifier qu’un QR code est malveillant. Un escroc peut générer un code parfaitement net, reprendre un logo officiel et reproduire la charte graphique d’une entreprise ou d’une administration.
Plusieurs indices doivent cependant inciter à ne pas poursuivre :
- le QR code est imprimé sur un autocollant posé par-dessus un autre support ;
- l’impression paraît ajoutée à la hâte sur une borne ou une affiche officielle ;
- l’adresse proposée par le téléphone ne correspond pas au service attendu ;
- le nom de domaine comporte une faute, une lettre supplémentaire ou une substitution discrète ;
- le QR code conduit vers un raccourcisseur d’URL ou une adresse difficile à identifier ;
- le message associé réclame une connexion, un paiement ou des informations bancaires ;
- une menace ou une urgence vous pousse à agir immédiatement.
Un seul de ces éléments ne prouve pas systématiquement une fraude. Leur accumulation justifie en revanche d’abandonner le QR code et d’accéder au service par un autre moyen.
QR code sur un horodateur, une borne ou dans un restaurant : vérifiez le support
Dans l’espace public, l’une des techniques les plus simples consiste à coller un faux QR code sur le véritable code. Le fraudeur n’a alors besoin de modifier ni l’horodateur ni la borne : le nouvel autocollant redirige simplement les utilisateurs vers son propre site.
Avant de scanner un QR code destiné à effectuer un paiement, observez son intégration au support. Une surépaisseur, un coin qui se décolle ou un autocollant placé sur une autre impression constituent des signaux d’alerte.
Ce contrôle est particulièrement pertinent sur les horodateurs, bornes de recharge, affiches, menus et autres équipements accessibles au public. Il ne constitue toutefois pas une garantie : un QR code frauduleux peut aussi avoir été imprimé directement sur un document.
Que faire devant un QR code de paiement suspect ?
Ne l’utilisez pas pour « tester » sa destination jusqu’au paiement. Sur un horodateur ou une borne, recherchez plutôt l’adresse officielle du service inscrite ailleurs sur l’équipement ou utilisez l’application officielle que vous connaissez déjà.
Dans un restaurant, demandez au personnel de confirmer le QR code en cas de doute. Un logo, une belle impression ou une page web reprenant parfaitement les couleurs de l’établissement ne suffisent pas à démontrer son authenticité.
Comment vérifier l’URL d’un QR code avant de l’ouvrir ?
Sur les smartphones qui proposent un aperçu de la destination, ne validez pas immédiatement la notification affichée après le scan. Lisez d’abord le nom de domaine : c’est l’un des contrôles les plus utiles pour détecter une tentative de phishing par QR code.
Imaginons qu’un service fictif utilise normalement le domaine paiement-exemple.fr. Des adresses comme paiement-exemp1e.fr, paiement-exemple-securise.net ou paiement-exemple.fr.validation-client.net doivent susciter la méfiance.
Le dernier exemple illustre un piège fréquent : la présence d’un nom connu au début de l’adresse ne signifie pas que le domaine lui appartient. Dans paiement-exemple.fr.validation-client.net, le domaine principal est validation-client.net.
HTTPS et le cadenas ne signifient pas que le site est légitime
Une adresse commençant par https:// indique que la connexion entre votre navigateur et le site est chiffrée lorsque HTTPS est correctement mis en œuvre. Cela ne prouve pas que la personne exploitant ce site est digne de confiance.
Un site de phishing peut donc utiliser HTTPS et présenter une apparence professionnelle. La vérification doit porter en priorité sur le nom de domaine exact et sur la cohérence entre cette adresse et le service que vous souhaitez utiliser.
Qu’est-ce que le quishing ?
Le quishing est une forme de phishing utilisant un QR code pour conduire la victime vers une destination frauduleuse. Au lieu de cliquer directement sur un lien présent dans un message, l’utilisateur scanne une image avec son téléphone.
Le procédé est efficace notamment parce que l’adresse web n’est pas directement lisible dans la matrice du QR code. L’utilisateur voit un carré graphique là où il verrait normalement un lien et son nom de domaine.
Les attaques peuvent viser des identifiants, des données bancaires ou inciter au téléchargement d’un contenu. Pour comprendre plus précisément cette technique, ses méthodes et les moyens de s’en protéger, consultez notre guide consacré au quishing et aux arnaques par QR code.
Les QR codes reçus par e-mail, SMS ou messagerie sont-ils dangereux ?
La vigilance ne doit pas se limiter aux codes imprimés. Un faux QR code peut être envoyé dans un e-mail ou apparaître dans une image transmise par SMS, messagerie instantanée ou réseau social.
Le scénario cherche souvent à créer une urgence : colis prétendument bloqué, remboursement à réclamer, compte à vérifier, facture impayée, problème administratif ou paiement à régulariser.
Cette pression psychologique est elle-même un indice. Si le message provoque immédiatement la peur de perdre de l’argent, de recevoir une pénalité ou de voir un compte suspendu, évitez de suivre le parcours proposé. Ouvrez plutôt vous-même l’application officielle ou saisissez l’adresse habituelle du service.
Quels risques présente réellement un QR code malveillant ?
Le QR code sert principalement de passerelle vers la suite de l’attaque. Le simple fait de scanner un code ne signifie pas automatiquement que le téléphone est piraté. Le risque dépend de la destination et des actions réalisées ensuite.
Une page frauduleuse peut notamment chercher à :
- récupérer un identifiant et un mot de passe ;
- obtenir des informations bancaires ;
- imiter une procédure de paiement ;
- vous faire valider une opération frauduleuse ;
- vous inciter à télécharger un fichier ou une application provenant d’une source non fiable.
Il faut donc distinguer la lecture du QR code de l’action effectuée ensuite. Vous pouvez d’ailleurs utiliser notre scanner de QR code en ligne pour décoder un QR code depuis une image ou avec votre caméra, puis examiner son contenu avant de poursuivre.
Un QR code peut-il changer de destination avec le temps ?
Oui, dans certains systèmes dits dynamiques, le QR code pointe vers une adresse intermédiaire permettant de modifier ensuite sa destination sans réimprimer la matrice. Cela explique pourquoi l’apparence physique du code ne permet pas, à elle seule, de connaître sa destination finale.
Ce fonctionnement n’est pas intrinsèquement suspect : les QR codes dynamiques ont de nombreux usages légitimes. Il faut cependant le garder à l’esprit lorsqu’un code ancien conduit soudainement vers une destination inattendue.
Pour comprendre la différence entre ces deux fonctionnements, consultez notre comparaison entre QR code statique et QR code dynamique. La question de savoir si un QR code peut expirer doit également être distinguée de la disponibilité de sa destination.
Le téléphone peut-il détecter automatiquement un QR code dangereux ?
Il ne faut pas compter uniquement sur le smartphone. Selon l’appareil, son système et l’application utilisée pour scanner, le comportement peut varier. Les appareils récents affichent couramment un aperçu de la destination, mais cette présentation ne constitue pas une garantie de sécurité.
Les redirections compliquent également l’analyse : l’adresse initialement affichée peut conduire vers une autre adresse. Les services de raccourcissement ou de redirection ne sont pas nécessairement malveillants, mais ils rendent la destination finale moins évidente et imposent donc davantage de prudence.
Sur un appareil ancien ou avec une application qui ouvre rapidement les liens, mieux vaut ne pas scanner un code douteux simplement pour découvrir où il mène.
Que faire si vous avez déjà scanné un QR code suspect ?
La réaction dépend de ce que vous avez fait après le scan.
| Situation | Que faire ? |
|---|---|
| Vous avez seulement scanné le code | N’ouvrez pas la destination si elle paraît suspecte. |
| Vous avez ouvert la page sans rien saisir | Fermez-la et n’interagissez pas avec son contenu. |
| Vous avez saisi un mot de passe | Changez-le depuis le site ou l’application officielle et changez-le aussi ailleurs s’il était réutilisé. |
| Vous avez communiqué des données bancaires | Contactez votre banque par ses canaux officiels afin de déterminer les mesures à prendre. |
| Vous avez installé un fichier ou une application | Supprimez le contenu suspect et faites vérifier la sécurité de l’appareil si nécessaire. |
La checklist avant d’ouvrir un QR code inconnu
Avant de suivre la destination d’un QR code que vous ne connaissez pas, posez-vous ces quelques questions :
- Le QR code semble-t-il faire partie du support original ?
- Un autocollant a-t-il pu être ajouté par-dessus ?
- Le contexte justifie-t-il réellement la présence de ce QR code ?
- Le nom de domaine affiché correspond-il exactement au service attendu ?
- L’adresse comporte-t-elle une faute ou un domaine inhabituel ?
- Le site demande-t-il immédiatement un mot de passe ou un paiement ?
- Le message cherche-t-il à créer un sentiment d’urgence ?
Si plusieurs réponses vous semblent suspectes, n’utilisez pas le QR code. Accédez directement au service depuis son application officielle ou en saisissant vous-même son adresse.
Le réflexe à retenir pour éviter un QR code dangereux
Pour reconnaître un QR code dangereux, ne cherchez pas un défaut dans les petits carrés noirs. Cherchez plutôt ce qui entoure le code et ce qui se passe après son scan.
Sur un support physique, vérifiez qu’aucun autocollant ne semble avoir été ajouté. Dans un message, méfiez-vous des demandes urgentes de paiement ou de connexion. Et dans tous les cas, contrôlez l’adresse proposée avant de l’ouvrir.
Un QR code doit être considéré comme un lien web sous une autre forme : si vous n’auriez pas cliqué sur cette adresse dans un e-mail suspect, ne lui accordez pas davantage de confiance parce qu’elle est dissimulée derrière un carré à scanner.
FAQ sur les QR codes dangereux
Comment savoir si un QR code est faux ?
Il est impossible de le déterminer uniquement en observant sa matrice graphique. Vérifiez le support, recherchez un éventuel autocollant superposé et contrôlez surtout l’adresse web affichée par le téléphone avant de l’ouvrir.
Est-ce dangereux de flasher un QR code dans un restaurant ?
Scanner un QR code n’est pas en soi synonyme de compromission. Le risque apparaît notamment lorsqu’un code a été remplacé et conduit vers un site frauduleux. Un autocollant superposé, une URL inattendue ou une demande inhabituelle de paiement doivent vous inciter à arrêter.
Comment vérifier l’adresse d’un site avant d’ouvrir un QR code ?
Lorsque votre téléphone affiche un aperçu du lien, examinez le nom de domaine avant de valider. Recherchez les fautes, lettres remplacées, domaines inconnus et adresses conçues pour ressembler à celles d’une marque ou d’une administration.
Qu’est-ce que le quishing ?
Le quishing est une technique de phishing reposant sur un QR code. Celui-ci dirige la victime vers une page frauduleuse pouvant notamment chercher à récupérer des identifiants, des informations personnelles ou des données de paiement.
Un QR code avec un logo officiel est-il sûr ?
Non. Un fraudeur peut reproduire un logo, une charte graphique et l’apparence d’un document officiel. Le design du QR code ne constitue donc pas une preuve de légitimité.
