Arnaques au QR code (quishing) : repérer un code piégé

Un QR code dissimule sa destination derrière une mosaïque de carrés — et c’est précisément ce qui intéresse les attaquants. Le phishing par QR code a même un nom : le quishing. Voici les arnaques que l’on rencontre vraiment, comment vérifier un code avant de lui faire confiance, et ce que doivent faire les entreprises pour protéger leurs propres codes imprimés.

Le quishing en bref

C’est du hameçonnage classique avec un autre véhicule. Au lieu d’un lien cliquable, on vous présente un QR code — sur un autocollant, un courrier, une facture ou dans un e-mail. Vous scannez, vous arrivez sur une copie convaincante d’une page de connexion ou de paiement, et vous livrez vos identifiants ou votre carte.

Trois raisons expliquent son efficacité : la destination n’est pas lisible à l’œil ; on scanne avec un téléphone, où la barre d’adresse est courte et facile à mal lire ; et un code inséré dans un e-mail échappe souvent aux filtres qui n’analysent que les liens texte.

Les arnaques réellement observées

• Autocollant collé sur le vrai code. Sur un horodateur, une borne de recharge ou une affiche : la victime paie un inconnu.
• Fausse facture. Un courrier ou un PDF invite à régler en scannant. Les coordonnées bancaires sont celles de l’escroc.
• « Vérifiez votre compte ». Un e-mail annonce un blocage de messagerie, de banque ou de livraison et demande un scan. La page collecte mot de passe et code à deux facteurs.
• Avis de passage. Un carton dans la boîte aux lettres propose une nouvelle livraison contre des frais minimes — qui capturent le numéro de carte.
• Faux Wi-Fi. Un code qui vous connecte à un réseau contrôlé par l’attaquant.
• Cadeau ou sondage. Un code promettant une récompense mène à un formulaire de collecte ou à une installation d’application.

Vérifier un code avant de lui faire confiance

1. Lire l’aperçu. Les appareils photo récents affichent l’adresse avant l’ouverture. Lisez tout le domaine : banque-securisee.example.com n’est pas example.com.
2. Examiner l’autocollant. Un code posé sur un autre, de travers, ou sur une surface autrement vierge mérite la méfiance. Sur du mobilier public, testez du bout de l’ongle.
3. Ne jamais saisir d’identifiants sur une page atteinte par scan. Ouvrez le site vous-même : tapez le domaine, utilisez un favori ou l’application officielle.
4. Considérer toute demande de paiement comme hostile. Stationnement, énergie et services publics ne dépendent pas d’un autocollant pour encaisser.
5. Ignorer l’urgence. « Sous 24 heures sinon fermeture » est un levier de pression, pas une échéance.
6. Se méfier de l’invitation à installer. Une page qui réclame aussitôt un profil, un certificat ou un APK n’est pas une page de connexion.

Ce que doivent faire les entreprises

Si vous imprimez des QR codes, la confiance de vos clients fait partie de votre infrastructure. Concrètement :

• Imprimer un domaine reconnaissable. Un code qui résout vers votre propre domaine court se vérifie dans l’aperçu : la barre d’adresse devient un signal.
• Rendre la fraude visible. Plastifiez, utilisez des étiquettes inviolables, intégrez le code au visuel plutôt qu’en autocollant, et contrôlez régulièrement les emplacements très fréquentés.
• Utiliser des codes dynamiques. Si un code est détourné ou copié, vous le redirigez ou le désactivez en quelques secondes, sans rappeler les impressions.
• Surveiller les statistiques. Un pic soudain, une répartition inhabituelle des appareils ou navigateurs, ou du trafic bien après la fin de la campagne méritent un coup d’œil.
• Protéger le sensible. Pour un document interne ou une campagne limitée, un mot de passe, une date d’expiration ou un plafond de scans empêche un code fuité de rester exploitable.
• Annoncer ce qui va se passer. « Ce code ouvre notre carte sur example.com — nous ne demandons jamais de paiement par QR » retire à l’escroc son prétexte.

Chez Enqre, chaque code est dynamique : redirection ou désactivation immédiate, statistiques pour repérer les anomalies, et mot de passe, expiration et limite de scans sur les offres payantes.

Questions fréquentes

Un QR code peut-il contenir un virus ?

Pas en lui-même. Un QR code n’est que du texte encodé, le plus souvent un lien. Le risque réside entièrement dans la destination et dans ce que vous y faites : la question de sécurité porte toujours sur la page, pas sur le motif.

Scanner la carte d’un restaurant, est-ce sûr ?

Généralement oui, avec les mêmes réflexes : lire le domaine dans l’aperçu, et se méfier si un code de menu exige une connexion ou un paiement avant de montrer le moindre plat.

Comment vérifier un lien sans l’ouvrir ?

Utilisez l’aperçu de l’appareil photo et lisez le domaine. Pour plus de certitude, retapez le domaine dans le navigateur au lieu de toucher le lien, ou vérifiez-le dans un service de réputation d’URL reconnu.

J’ai déjà scanné un code malveillant, que faire ?

Mot de passe saisi : changez-le immédiatement sur le vrai site et révoquez les sessions actives. Carte saisie : contactez votre banque. Application installée : supprimez-la et faites vérifier l’appareil.