Les QR codes sont-ils sûrs ?
Ce qu’un QR code peut et ne peut pas faire à votre téléphone, comment fonctionne l’hameçonnage par QR code, et les quelques réflexes qui rendent un scan aussi sûr qu’un clic sur un lien visible.
Réponse courteUn QR code est aussi sûr que le lien qu’il contient. Le scan seul ne peut rien installer ni prendre le contrôle de votre téléphone, mais le code peut vous envoyer vers une page d’hameçonnage ou un téléchargement malveillant, et vous ne voyez pas l’adresse avant qu’il soit décodé — lisez donc l’aperçu du lien avant de le toucher.
Un QR code est un lien que vous ne pouvez pas lire
La plupart des QR codes contiennent une adresse web et rien d’autre. Le téléphone décode le motif, vous montre l’adresse et ne l’ouvre dans le navigateur que si vous la touchez. En ce sens, un code n’est pas plus dangereux qu’un lien dans un e-mail. Voir comment fonctionne un QR code pour ce que contient le motif.
La différence, c’est qu’un lien imprimé se lit et qu’un code ne se lit pas. D’un coup d’œil, vous pouvez repérer un domaine mal orthographié dans un lien ; d’un coup d’œil sur un QR code, vous ne repérez rien. C’est là tout le risque, et c’est pour cela que les escrocs les utilisent.
| À lui seul, un code… | Mais il peut vous mener vers… |
|---|---|
| Ne peut pas installer d’appli | Une page qui vous demande d’en installer une |
| Ne peut pas lire vos fichiers, contacts ou photos | Un formulaire qui vous demande de saisir des informations personnelles |
| Ne peut pas effectuer de paiement | Une fausse page de paiement qui ressemble à la vraie |
| Ne peut pas connaître vos mots de passe | Une copie de page de connexion qui les capture |
| Ne peut pas modifier les réglages de votre téléphone | Des instructions ou un fichier qui vous font les modifier |
Certains codes contiennent autre chose — des identifiants Wi-Fi, une fiche contact, un SMS prérédigé. Votre téléphone demande toujours avant de se connecter, d’enregistrer ou d’envoyer : lisez cette demande aussi attentivement qu’un aperçu de lien.
Comment fonctionnent les arnaques au QR code
L’hameçonnage par QR code, parfois appelé « quishing », n’est rien d’autre que du phishing ordinaire dont le lien est caché dans un code. Les scénarios qui reviennent sans cesse sont les suivants.
- Des autocollants sur de vrais codes. Un faux code est collé par-dessus le vrai sur un horodateur, une borne de paiement de parking, une borne de recharge ou une table de restaurant. Il mène à une page de paiement qui imite celle du véritable exploitant.
- Des codes dans des e-mails. Un message « du service informatique », d’une banque ou d’un service de partage de documents vous demande de scanner un code pour vous connecter ou revalider un compte. Un code dans une image est plus difficile à analyser pour les filtres de messagerie qu’un lien écrit, et il vous fait passer sur votre téléphone, où la barre d’adresse est petite.
- De faux avis de livraison et d’amende. Un carton dans la boîte aux lettres ou sous un essuie-glace annonce qu’un colis vous attend ou qu’une somme est due, et propose un code pour payer ou reprogrammer.
- Des codes qui poussent à télécharger. La page affirme qu’il vous faut une appli pour voir une carte, un document ou une session de stationnement, et renvoie vers un fichier hors de la boutique d’applications officielle.
Le point commun : l’urgence, associée à une demande d’argent, de mot de passe ou d’installation. Un vrai code de menu ou d’information n’a presque jamais besoin de tout cela.
Comment vérifier un code avant de l’ouvrir
- Scannez, puis arrêtez-vous à l’aperçu du lien. Ne le touchez pas encore.
- Lisez le domaine — la partie qui précède la première barre oblique simple. Appartient-il à l’organisme dont vous regardez le panneau ou le courrier ?
- Cherchez les ressemblances trompeuses : mots en trop, lettres inversées, extensions inhabituelles, ou un raccourcisseur de liens qui masque la vraie destination.
- Regardez le code lui-même. Est-ce un autocollant posé sur un panneau imprimé ? Les bords se décollent-ils, est-il légèrement décentré ?
- Si la page demande un mot de passe, un numéro de carte ou l’installation d’une appli, fermez-la et rendez-vous vous-même sur le site ou l’appli officielle de l’organisme.
Si vous avez déjà saisi vos coordonnées bancaires sur une page dont vous doutez, contactez immédiatement votre banque. Si vous avez saisi un mot de passe, changez-le sur le vrai site, ainsi que partout ailleurs où vous l’utilisiez. Comment scanner un QR code montre où apparaît l’aperçu sur iPhone et Android.
Si vous mettez des QR codes sous les yeux de vos clients
Une entreprise ne peut pas empêcher quelqu’un de coller un faux code sur son panneau, mais elle peut rendre le faux évident et le vrai digne de confiance.
- Imprimez le domaine à côté du code. « Scannez ou rendez-vous sur exemple.fr/payer » permet aux clients de comparer l’aperçu à ce que vous avez imprimé.
- Imprimez le code dans le panneau, au lieu de l’appliquer en autocollant, pour qu’un remplacement collé par-dessus se voie. Vérifiez régulièrement les panneaux installés dans des lieux publics.
- Placez les codes là où le personnel peut les voir, ou derrière une vitre, plutôt que sur des poteaux sans surveillance.
- Pointez vers votre propre domaine. Pour un client attentif, un code qui ouvre un domaine de redirection tiers ressemble trait pour trait à une arnaque. Un code statique pointe directement vers votre adresse — voir QR code statique ou dynamique.
- Ne demandez jamais de mot de passe ni de coordonnées bancaires sur une page atteinte par un code sans domaine familier et visible.
Les codes créés sur ce site contiennent exactement ce que vous saisissez, sans redirection intermédiaire, et rien de ce que vous saisissez n’est envoyé à un serveur. Pour les liens, le générateur n’accepte que les adresses web en http:// et https://.
Créez un code qui pointe directement vers votre propre domaine :Générer un QR code
Questions associées
Le scan seul n’installe rien et ne donne pas accès à votre téléphone. Le risque, c’est la page que le code ouvre, qui peut demander un mot de passe, un paiement ou un téléchargement. Lisez l’aperçu du lien et ne le touchez pas s’il vous semble suspect.
Le quishing est de l’hameçonnage qui utilise un QR code au lieu d’un lien visible. Le code mène à une fausse page de connexion ou de paiement, et comme l’adresse reste cachée jusqu’au scan, il est plus facile de ne pas remarquer que le site n’est pas authentique.
Vérifiez l’adresse dans l’aperçu du scan avant de l’ouvrir, et assurez-vous que le domaine appartient bien à l’organisme attendu. Méfiez-vous des autocollants posés sur des panneaux et de toute page qui demande un mot de passe, des coordonnées bancaires ou l’installation d’une appli.
C’est possible, mais les horodateurs et les panneaux de paiement sont des cibles fréquentes de faux autocollants. Vérifiez que le code est imprimé dans le panneau et que l’aperçu affiche le vrai domaine de l’exploitant, ou utilisez plutôt l’appli officielle de l’exploitant.
Avec prudence, surtout si l’e-mail vous demande de vous connecter, de vérifier un compte ou de payer. Rendez-vous directement sur le site de l’organisme plutôt que de scanner un code qu’on vous a envoyé.