Un QR code n’est pas dangereux par nature : c’est un code-barres matriciel qui peut contenir du texte, des coordonnées, une action vers une application ou, le plus souvent, une adresse web. Le risque vient de ce que sa destination reste invisible avant son décodage. Des fraudeurs exploitent cette opacité pour diriger une victime vers un faux site, récupérer ses identifiants ou lui faire installer un fichier. Ce procédé de hameçonnage par QR code est souvent appelé quishing.
Pourquoi un QR code peut-il être dangereux ?
Un QR code peut ouvrir une page web, lancer un deep link vers une application, préparer un e-mail ou déclencher une autre action sur le téléphone. Son image ne permet pas de distinguer une destination légitime d’une destination malveillante : deux codes visuellement semblables peuvent mener à des contenus totalement différents. Les attaques reposent surtout sur le phishing. Une page copiée d’une banque, d’un service de livraison ou d’un réseau social demande un mot de passe, un numéro de carte ou un code temporaire. Les fraudeurs peuvent aussi inciter au téléchargement d’un fichier, notamment un APK sur Android, ou d’un profil de configuration sur mobile. Ces éléments ne doivent jamais être installés depuis une source : TechFuté.fr. Le support physique ajoute un risque. Un code imprimé sur une affiche peut être remplacé par un autocollant frauduleux. On parle alors d’overlay de QR code. Les codes dynamiques méritent également une attention particulière : ils renvoient vers une URL modifiable après l’impression, contrairement à un code statique dont les données ne changent pas sans remplacer le visuel.
Repérer les signaux d’alerte avant de scanner un QR code
Un emplacement, un support ou un contexte inhabituel
Le contexte est le premier filtre. Un QR code reçu par SMS, e-mail ou messagerie privée, sans demande préalable, doit être considéré avec prudence. Le smishing, c’est-à-dire le phishing par SMS, utilise parfois ce format pour éviter que la victime voie une adresse suspecte. Dans un lieu public, interrogez-vous sur la cohérence entre le code et le service proposé. Un code collé sur un parcmètre, une borne de recharge, une vitrine ou un panneau administratif peut être authentique, mais il peut aussi avoir été ajouté par un tiers. Si le paiement ou la démarche est importante, passez de préférence par l’application officielle ou le site saisi manuellement.
Des indices de falsification ou de remplacement du code
Examinez le support sans vous fier uniquement au logo imprimé. Un autocollant qui dépasse, des bords décollés, une différence de papier, un code placé par-dessus un autre ou une mise en page mal alignée sont des indices utiles. Ils ne prouvent pas une fraude, mais justifient une vérification supplémentaire. Un organisme sérieux peut afficher plusieurs informations de contrôle : son nom, son adresse de site, un numéro de service client ou des consignes alternatives. Un code isolé, sans contexte ni moyen de vérification, est moins fiable.
Une promesse trop attractive ou un message pressant
La pression émotionnelle est un ressort classique de l’ingénierie sociale. Une remise exceptionnelle, un colis prétendument bloqué, une amende à régler immédiatement ou une menace de fermeture de compte doivent alerter. Un message demandant de scanner « maintenant », de garder l’opération secrète ou de valider un code reçu par SMS cherche souvent à empêcher la réflexion.
- Récompense disproportionnée ou cadeau conditionné à une action immédiate ;
- menace de pénalité, de suspension ou de perte d’accès ;
- demande de données bancaires, d’identifiants ou de code de validation ;
- absence de coordonnées vérifiables de l’émetteur.
Vérifier le lien affiché avant d’ouvrir la page
Examiner le nom de domaine et l’adresse complète
Utilisez l’appareil photo ou un lecteur qui propose une prévisualisation de l’URL. Ne touchez pas automatiquement la notification d’ouverture. L’adresse comporte notamment un protocole, un nom de domaine, un chemin et parfois des paramètres. L’élément décisif est généralement le nom de domaine. Une marque peut apparaître dans l’adresse sans que le site lui appartienne. Dans banque.exemple-malveillant.com, le domaine réel est exemple-malveillant.com ; « banque » n’est qu’un sous-domaine. Méfiez-vous aussi des fautes discrètes, lettres doublées, tirets inhabituels ou caractères ressemblant à des lettres latines : ce sont des techniques de typosquatting ou d’homographes.
| Élément observé |
Ce qu’il indique |
Réaction adaptée |
| Domaine connu et cohérent |
Indice favorable, non preuve absolue |
Vérifier que la page attendue correspond au service |
| Nom proche d’une marque avec faute |
Possible imitation de domaine |
Ne pas ouvrir ni saisir d’information |
| URL très courte ou illisible |
Destination finale masquée |
Passer par le site ou l’application officielle |
| Demande d’ouverture d’une application inconnue |
Action potentiellement non souhaitée |
Annuler et contrôler la source |
Le cadenas ou le préfixe HTTPS ne suffisent pas. HTTPS chiffre la connexion entre le téléphone et le site ; un certificat TLS indique surtout que le domaine contrôle ce certificat. Ni l’un ni l’autre ne garantissent l’honnêteté du propriétaire du site.
Se méfier des liens raccourcis, des fautes et des redirections
Un raccourcisseur d’URL masque l’adresse finale, ce qui réduit votre capacité de contrôle. Les redirections HTTP peuvent aussi faire transiter la navigation par plusieurs pages avant d’aboutir à une destination différente de celle annoncée. Elles ne sont pas toujours frauduleuses, mais elles sont inadaptées pour une opération sensible. Après l’ouverture, surveillez l’adresse du navigateur : une redirection inattendue vers un domaine inconnu est un motif d’arrêt. Évitez également les liens qui proposent d’installer une application hors de la boutique officielle, d’autoriser des notifications ou de télécharger un document sans raison claire.
Reconnaître une page frauduleuse après le scan
Les demandes sensibles qui doivent alerter
Une page légitime peut demander une connexion, mais elle ne devrait pas réclamer sans explication un code PIN, un numéro complet de carte, un code reçu par SMS ou un code de double authentification. Ces codes à usage unique permettent souvent de finaliser une connexion ou un paiement : ne les communiquez jamais à un site dont l’identité n’est pas certaine. Soyez particulièrement vigilant si la page exige de désactiver une protection, d’installer un APK, d’ajouter un profil de configuration ou d’autoriser l’accès à vos contacts et messages. Une telle demande doit être justifiée par la fonction précise de l’application, et non par une simple promotion ou un prétendu contrôle de sécurité.
Les incohérences visuelles et les signes d’une arnaque
Les faux sites imitent parfois correctement un logo, mais présentent souvent des indices : fautes de langue, design approximatif, boutons inactifs, mentions légales absentes, coordonnées vagues ou formulaires demandant trop d’informations. Une page de paiement qui ne correspond pas au prestataire annoncé doit conduire à interrompre la démarche. L’apparence ne constitue toutefois pas une preuve : une copie peut être très convaincante. Vérifiez l’adresse, le contexte et la cohérence de la demande avant toute saisie. En cas de doute, fermez la page et accédez au service par un canal indépendant.
Les bons réflexes pour scanner un QR code sans risque
Utiliser une application qui affiche l’URL avant ouverture
Préférez le lecteur intégré au téléphone lorsqu’il affiche clairement le lien avant de l’ouvrir, ou une application reconnue proposant cette prévisualisation. Prenez le temps de lire le domaine, puis annulez si l’adresse paraît incohérente. Désactivez l’ouverture automatique si votre application le permet. Gardez le système, le navigateur et les applications à jour. Les protections techniques limitent certains risques, mais elles ne remplacent pas le contrôle humain face à une page qui cherche à obtenir volontairement vos informations.
Accéder autrement au site ou au service concerné
Pour un paiement, un suivi de colis, une démarche administrative ou une connexion à un compte, le moyen le plus sûr est souvent de ne pas utiliser le code. Ouvrez l’application officielle, utilisez un favori enregistré ou tapez vous-même l’adresse connue du service. Cette précaution est particulièrement utile devant une borne publique ou après un message inattendu. Un organisme légitime offre normalement un autre moyen d’accéder à son service.
Que faire si un QR code suspect a déjà été scanné ?
Fermer la page et ne communiquer aucune information
Si vous avez seulement ouvert une page, fermez-la sans remplir de formulaire, sans télécharger de fichier et sans accepter d’autorisation. Effacez éventuellement l’onglet et vérifiez que le navigateur n’a pas lancé un téléchargement. Le simple affichage d’une page ne signifie pas automatiquement qu’un appareil est compromis, mais il faut éviter toute interaction supplémentaire.
Réagir rapidement en cas de données saisies ou de téléchargement
Si vous avez saisi un mot de passe, changez-le immédiatement depuis le site ou l’application officielle, puis déconnectez les sessions inconnues si cette option existe. Si le mot de passe est réutilisé ailleurs, modifiez aussi ces accès. En cas de données bancaires communiquées, contactez sans délai votre banque via ses coordonnées habituelles. Après avoir transmis un code temporaire, surveillez vos comptes et activez ou vérifiez la double authentification. Désinstallez toute application ou profil ajouté à la suite du scan ; si nécessaire, demandez l’aide du support officiel. Enfin, conservez une capture de l’URL et signalez le contenu à l’organisme usurpé, à la plateforme concernée ou aux autorités compétentes.
Le réflexe à retenir
Un visuel convaincant ne garantit jamais la fiabilité de sa destination. La meilleure protection consiste à associer le contexte, l’état du support et le contrôle de l’adresse affichée avant toute ouverture. Un domaine inhabituel, une demande urgente ou une collecte d’informations sensibles doivent suffire à interrompre la démarche. HTTPS ne constitue pas une preuve de légitimité, pas plus qu’un logo connu ou une offre attrayante. Pour un paiement, une connexion ou une opération administrative, privilégiez toujours l’application officielle ou une adresse saisie directement. En cas de doute, renoncer au scan est rarement contraignant et évite des conséquences importantes. La prudence avant le clic reste le choix le plus simple.
Questions courantes
Un QR code peut-il infecter mon téléphone simplement en le scannant ?
Non, le scan seul ne provoque généralement pas d’infection. Le risque apparaît surtout si vous ouvrez un lien, téléchargez un fichier, installez une application ou accordez des autorisations. Garder le système à jour reste important, car un appareil non mis à jour peut être plus exposé à des failles connues.
Est-il risqué de scanner le menu d’un restaurant ?
Pas nécessairement, mais vérifiez que le code est bien intégré au support officiel et non collé par-dessus un autre. Un menu normal ne devrait pas exiger de compte, de données bancaires ou de téléchargement. Si le lien semble étrange, demandez une carte papier ou recherchez directement l’établissement.
Un QR code pour se connecter au Wi-Fi est-il fiable ?
Il peut être légitime, notamment dans un hôtel, un café ou chez un particulier. Il doit normalement proposer l’ajout d’un réseau Wi-Fi, sans demander d’identifiants de messagerie ni ouvrir un site inconnu. En cas de doute, demandez le nom du réseau et le mot de passe au personnel plutôt que d’utiliser le code affiché.
Peut-on payer sans risque avec un QR code affiché sur une borne ?
Oui, à condition de confirmer que la borne et l’adresse de paiement appartiennent bien au gestionnaire annoncé. Les parcmètres et bornes de recharge sont des cibles possibles pour les autocollants frauduleux. Privilégiez l’application officielle ou le paiement par carte directement sur l’équipement lorsque c’est possible.
Que signifie un QR code qui ouvre directement une application ?
Il peut s’agir d’un lien profond, conçu pour afficher une page précise dans une application déjà installée. Cette fonction est courante pour les billets, les paiements ou les programmes de fidélité. Refusez toutefois l’ouverture si l’application proposée est inconnue, si le téléphone suggère une installation ou si l’action ne correspond pas au contexte.
Faut-il supprimer l’historique après avoir ouvert un lien douteux ?
Supprimer l’onglet et l’historique peut éviter de rouvrir la page par erreur, mais cela ne remplace pas les mesures de sécurité utiles. Si aucune donnée n’a été saisie et qu’aucun fichier n’a été téléchargé, le risque est souvent limité. Vérifiez néanmoins les téléchargements récents et les applications installées.
Comment vérifier si un QR code reçu par e-mail est authentique ?
Contactez l’expéditeur par un canal indépendant, surtout si le message demande une action urgente. Ne répondez pas directement à l’e-mail suspect et ne vous fiez pas uniquement au nom affiché. Un service légitime permet habituellement d’accéder à la même démarche depuis votre compte habituel.