Comment repérer un faux QR code (et éviter le « quishing »)

On ne peut pas savoir si un QR code est sûr rien qu'en le regardant : vérifiez donc la destination avant d'agir. Regardez l'adresse web que votre téléphone affiche, méfiez-vous des codes reçus dans des messages inattendus et des autocollants posés sur d'autres codes, et ne saisissez jamais de mot de passe ni de données bancaires sur une page atteinte via un code que vous ne pouvez pas vérifier. Les entreprises peuvent réduire le risque en encadrant leurs codes, en les contrôlant régulièrement et en imprimant leur nom à côté.

Ce qu'est le « quishing »

Le quishing, c'est de l'hameçonnage par QR code. Le code n'est que l'image d'une adresse web ; l'arnaque, c'est la page qu'il ouvre. Comme le motif a le même aspect qu'il mène à un menu ou à une fausse page de connexion, les gens baissent la garde, et les filtres de sécurité qui analysent le texte à la recherche de liens malveillants peuvent ne pas lire l'image du tout. La Federal Trade Commission américaine (FTC) a publié en décembre 2023 une alerte aux consommateurs décrivant exactement cela, notamment des escrocs qui remplacent les codes des horodateurs par les leurs et des messages qui inventent une urgence, comme une livraison manquée, pour pousser à scanner vite.

Les deux techniques courantes

Les autocollants superposés. Un fraudeur imprime un code et le colle sur un vrai : sur un horodateur, une table de restaurant, une affiche, une urne de collecte caritative. Les clients pensent payer ou lire le menu et sont envoyés vers une page imitant l'originale.

Les codes non sollicités. Une lettre, un e-mail ou un SMS vous demande de scanner un code pour reprogrammer une livraison, confirmer une opération bancaire ou réclamer un lot. L'urgence est le signal d'alerte.

Sept vérifications avant d'ouvrir un code

1. Lisez l'adresse que votre téléphone affiche. L'iPhone comme Android affichent la destination avant de l'ouvrir. Comparez le domaine avec l'interlocuteur attendu. Le menu d'un café ne devrait pas ouvrir un domaine dont vous n'avez jamais entendu parler.
2. Méfiez-vous des liens raccourcis sur les autocollants et dans les messages. Un lien court cache sa destination finale. Il n'est pas dangereux en soi, mais il vous prive d'une vérification que vous feriez sinon.
3. Regardez le code physique. Est-ce un autocollant posé sur un autre imprimé ? Les bords se soulèvent-ils ? Est-il sur une surface qui ne devrait pas porter d'autocollant ?
4. Demandez-vous si vous l'attendiez. Les codes reçus dans un courrier ou un message non sollicité méritent une méfiance accrue.
5. Allez vous-même sur le site officiel. Si un code prétend venir de votre banque ou de votre transporteur, fermez-le et ouvrez plutôt l'application ou le site officiel.
6. Ne saisissez jamais d'identifiants ni de numéro de carte sur une page que vous ne pouvez pas vérifier. Vérifiez que l'adresse correspond et que vous avez vraiment besoin d'être sur cette page.
7. Utilisez un lecteur qui prévisualise les liens. Lire un code à partir d'une capture d'écran avec un outil qui affiche l'adresse complète avant d'ouvrir quoi que ce soit est une façon sûre de l'inspecter.

Ce que les entreprises doivent faire

Si vous imprimez des QR codes pour vos clients, vous faites partie de la défense.

• Fixez les codes de façon qu'on ne puisse pas les recouvrir. Utilisez un cadre, une protection transparente ou un présentoir de table plutôt qu'un autocollant libre.
• Imprimez votre nom à côté du code et affichez-le sur la page. Les clients qui savent ce que la page doit afficher peuvent repérer un faux.
• Contrôlez les codes régulièrement. Vérifiez-les à l'ouverture, surtout là où il y a des paiements ou des dons.
• Utilisez un lien court sur un domaine que vous contrôlez, ou un fournisseur qui vérifie les destinations. Un code dynamique permet de changer rapidement une destination en cas de problème, et un fournisseur qui surveille les abus réduit le risque que vos propres codes soient utilisés contre les gens.
• Ne demandez jamais de données bancaires sur une page atteinte depuis une affiche. Envoyez les gens vers la page de paiement hébergée par votre prestataire de paiement.

Si vous avez scanné quelque chose de suspect

Fermez la page sans rien saisir. Si vous avez saisi un mot de passe, changez-le sur le vrai site et activez l'authentification à deux facteurs. Si vous avez saisi des données bancaires, appelez votre banque. Signalez l'autocollant à l'établissement et, le cas échéant, à l'autorité de protection des consommateurs de votre pays.

FAQ

Le simple fait de scanner un QR code peut-il infecter mon téléphone ?

Scanner ne fait que lire le texte. Le risque vient de ce que vous faites ensuite : ouvrir une page malveillante, installer ce qu'elle propose ou saisir des identifiants. Gardez votre téléphone à jour et soyez prudent avec la page qui s'ouvre.

Comment vérifier un QR code sans l'ouvrir ?

Regardez l'aperçu de l'adresse affiché par l'appareil photo, ou décodez une capture d'écran du code avec un outil qui affiche le contenu avant d'ouvrir quoi que ce soit. Notre lecteur de QR code gratuit le fait dans votre navigateur, sans envoyer l'image.

Les QR codes sont-ils dangereux à utiliser ?

Pas plus que n'importe quel lien. Ils sont sûrs quand ils viennent d'une source de confiance et mènent au site attendu. Traitez-les comme les liens d'un e-mail : vérifiez où ils mènent avant d'agir.