Actualité des QR codes en 2026 : 8 changements que les petites entreprises doivent connaître

L'actualité des QR codes en 2026 tire dans deux directions. Le FBI, la FTC, des autorités municipales, Meta et Microsoft ont publié des alertes et des chiffres d'attaques sur les codes malveillants, tandis que des organismes de normalisation et une administration fiscale continuaient d'intégrer les QR codes aux codes-barres, aux normes et aux factures. Voici huit évolutions datées ; quand une source l'appuie, chacune se termine par ce qu'elle signifie pour une petite entreprise.

Faits vérifiés le 17 octobre 2026.

Les huit évolutions en un coup d'œil

Alertes sur les QR codes malveillants

1. Le FBI a indiqué que les QR codes passent à travers les filtres de messagerie

Le FLASH AC-000001-MW du FBI du 8 janvier 2026 décrit le groupe nord-coréen Kimsuky envoyant par e-mail des QR codes à des groupes de réflexion et à des administrations. Selon le FBI, ces campagnes envoient souvent les images QR en pièces jointes ou en graphiques intégrés, qui échappent à l'inspection et à la réécriture des URL et au bac à sable, et déplacent la victime vers un téléphone. Il conseille de former le personnel aux codes non sollicités, « quelle que soit leur source (e-mail, lettre, prospectus, emballage) ».

Pour une petite entreprise : l'alerte vise des organisations liées à la Corée du Nord, pas des commerces. Sa vérification est simple : confirmez un code inattendu auprès de l'expéditeur par un autre canal avant de saisir un mot de passe ou de télécharger un fichier.

2. Microsoft a vu l'hameçonnage par QR monter, puis baisser

Le rapport de Microsoft sur les menaces par e-mail du T1 2026 indique que les attaques par QR code sont passées de 7,6 millions en janvier à 18,7 millions en mars. Son rapport du T2 indique que le volume a baissé de 7 % en avril, à 17,4 millions, chuté de 38 % en mai et terminé juin à 8,3 millions, quand l'hameçonnage par QR est « revenu à des niveaux vus pour la dernière fois mi-2025 ».

Pour une petite entreprise : ce sont les détections d'un seul éditeur (données d'éditeur), et les sections sur les QR codes n'expliquent pas comment une attaque est comptée : lisez-les comme une tendance, pas comme un total du secteur. Notre guide pour repérer un faux QR code s'applique dans tous les cas.

3. De faux autocollants sont apparus sur des horodateurs

La ville de Mississauga a averti le 24 avril que « tout QR code trouvé sur un horodateur municipal n'est pas légitime », et indiqué qu'environ 80 autocollants frauduleux avaient été retirés. L'alerte de la FTC du 3 septembre indique que des personnes ont signalé des escrocs recouvrant les vrais QR codes des horodateurs avec les leurs, et conseille de vérifier l'aperçu du lien à la recherche de fautes d'orthographe ou de lettres interverties. Auckland Transport a indiqué le 8 septembre n'utiliser de QR code sur aucun de ses horodateurs ni appareils de stationnement.

Pour une petite entreprise : les deux autorités ont donné aux conducteurs une règle qui ne demande aucune inspection, et la FTC ajoute une vérification pour les codes qui existent bel et bien. Pour vos propres codes imprimés, voir protéger les QR codes imprimés des arnaques à l'autocollant.

4. WhatsApp a annoncé des alertes sur l'association d'appareils

L'annonce de Meta du 11 mars 2026 indique que des escrocs peuvent tenter de piéger des personnes pour qu'elles associent un compte WhatsApp à leur appareil, notamment en leur faisant scanner un QR code sous un faux prétexte. Les alertes de WhatsApp montrent d'où vient la demande et avertissent qu'il pourrait s'agir d'une arnaque.

Pour une petite entreprise : selon Meta, scanner un QR code est l'un des moyens par lesquels les escrocs tentent de faire associer un compte à leur appareil.

Codes-barres et normes

5. GS1 veut que les lecteurs de caisse lisent les codes-barres 2D d'ici fin 2027

GS1, l'organisme de normalisation des codes-barres, indique dans un document de position d'août 2026 que le secteur s'est fixé un objectif : d'ici fin 2027, tous les systèmes de point de vente du commerce de détail devraient pouvoir lire un ensemble défini de codes-barres 2D conformes à GS1. Son guide de décembre 2025 qualifie la transition de « volontaire » et indique que les codes-barres linéaires « ne disparaîtront pas ». Ce guide appelle l'objectif « Ambition 2027 » ; GS1 US l'appelle Sunrise 2027 et précise qu'il n'est pas nécessaire d'avoir mis en œuvre toutes les capacités 2D d'ici là. Les formats de caisse sont GS1 DataMatrix, un Data Matrix avec la syntaxe URI de GS1 Digital Link et un QR code avec la syntaxe URI de GS1 Digital Link. Un QR code contenant une adresse web ordinaire, non écrite selon la syntaxe URI de GS1 Digital Link, n'en fait pas partie.

En avril 2026, Tesco a indiqué dans un communiqué faire passer 13 références de ses saucisses de marque propre des codes-barres aux QR codes, et s'est présenté comme le premier supermarché britannique à faire passer toute une gamme de produits au nouveau système. En octobre 2026, l'objectif de GS1 est une cible volontaire du secteur, pas une loi, et ceci n'est pas un avis juridique.

Pour une petite entreprise : un code sur l'emballage, que les clients scannent chez eux, est distinct du code-barres de caisse. Un code dynamique, comme ceux de QR Maker AI (trois actifs avec l'offre gratuite, en octobre 2026), encode un lien court : après un changement de destination, le scan suivant va donc à la nouvelle adresse, sans réimpression. Ce n'est pas un code GS1 Digital Link et il ne remplacera pas votre code-barres en caisse. Voir QR codes pour emballages de produits, combien de temps le lien d'un QR code doit fonctionner ou créez un code dynamique.

6. L'ISO a lancé une cinquième édition de la norme du QR code

La page du comité de l'ISO présente l'édition 5 de l'ISO/IEC 18004 comme en cours d'élaboration, destinée à remplacer l'ISO/IEC 18004:2024, avec un projet approuvé le 25 février 2026 et une période de commentaires close le 19 juin 2026.

Pour une petite entreprise : la page ne dit pas ce qui changera : il n'y a donc encore rien à prévoir.

Paiements et factures (régional)

7. Inde : une commission marchande sur UPI s'applique à partir du 15 octobre

Le document FAQ de NPCI, daté du 15 septembre 2026, indique qu'à partir du 15 octobre 2026 un taux de commission marchande de 0,4 % s'applique aux paiements UPI de particulier à commerçant de plus de ₹2 000, plafonné à ₹300 par paiement à partir de ₹75 000, avec des taux différents pour certains secteurs. Les paiements jusqu'à ₹2 000 ne sont pas concernés, et les petits commerçants qui reçoivent jusqu'à ₹1 lakh (100 000 roupies) par mois via un QR UPI directement sur leur compte restent sans commission.

Pour une petite entreprise : NPCI indique que les présentoirs QR et les boîtiers sonores existants n'ont pas à être remplacés. Le document est antérieur à la date d'entrée en vigueur, et les sources citées ici ne contiennent aucune donnée sur l'effet de la règle.

8. Espagne : les règles des systèmes de facturation ajoutent un QR code aux factures

L'administration fiscale espagnole, sur une page mise à jour le 13 octobre 2026, indique qu'une fois que les règles des systèmes informatiques de facturation (SIF) s'appliquent à un émetteur, toutes ses factures, complètes ou simplifiées, doivent porter un QR code. Un décret-loi de décembre 2025 fixe l'échéance pour les systèmes de facturation avant le 1er janvier 2027 pour les contribuables relevant de l'article 3.1.a) et avant le 1er juillet 2027 pour le reste de l'article 3.1.

Pour une petite entreprise : le QR code s'applique aux émetteurs soumis aux règles des systèmes de facturation, qui, selon la page de l'administration fiscale, ne couvrent pas les opérations ne nécessitant pas de facture : vérifiez donc si elles vous concernent. Ces dates sont celles d'octobre 2026 et peuvent changer : consultez le texte officiel. Ceci n'est pas un avis juridique.

FAQ

L'hameçonnage par QR code augmente-t-il en 2026 ?

Les chiffres du rapport du T1 de Microsoft sont passés de 7,6 millions d'attaques en janvier à 18,7 millions en mars, puis son rapport du T2 montre une baisse à 8,3 millions en juin. Ce sont les données d'un seul éditeur, pas un total du secteur.

Les QR codes vont-ils remplacer les codes-barres en caisse ?

L'objectif de GS1 est que, d'ici fin 2027, les lecteurs de caisse puissent lire à la fois les codes-barres linéaires et 2D, et son guide indique que les codes linéaires ne disparaîtront pas. La transition est volontaire.

Cela change-t-il le fonctionnement de mon QR code ordinaire ?

Dans les sources que nous avons lues, aucune ne dit qu'un QR code qui ouvre une page web sera créé ou lu différemment. La page de l'ISO présente une cinquième édition de la norme en cours d'élaboration, mais ne dit pas ce qu'elle changerait, et les points sur GS1, les paiements et les factures concernent des formats précis.

Sources

1. FBI Internet Crime Complaint Center — North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities (FLASH AC-000001-MW). Published 8 January 2026. Accessed 17 October 2026.
2. Microsoft Threat Intelligence — Email threat landscape: Q1 2026 trends and insights. Published 30 April 2026. Accessed 17 October 2026. (vendor data)
3. Microsoft Threat Intelligence — Email threat landscape: Q2 2026 trends and insights. Published 23 July 2026. Accessed 17 October 2026. (vendor data)
4. City of Mississauga — City warns about fraudulent QR codes on parking machines. Published 24 April 2026. Accessed 17 October 2026.
5. Federal Trade Commission — See a QR code parked somewhere? Don't scan it...yet!. Published 3 September 2026. Accessed 17 October 2026.
6. Auckland Transport — Aucklanders warned about scam parking meter QR codes. Published 8 September 2026. Accessed 17 October 2026.
7. Meta — Meta Launches New Anti-Scam Tools, Deploys AI Technology to Fight Scammers and Protect People. Published 11 March 2026. Accessed 17 October 2026.
8. GS1 — Position Paper: Migration to a single GS1 conformant 2D barcode for retailer private label, retailer-exclusive and in-store labelled products. Release 2.0, August 2026. Accessed 17 October 2026.
9. GS1 — 2D Barcodes at Retail Point-of-Sale Implementation Guideline. Release 1.1.0, ratified December 2025. Accessed 17 October 2026.
10. GS1 US — What is GS1 Sunrise 2027?. Undated. Accessed 17 October 2026.
11. Tesco PLC — Tesco sausage range becomes first UK products to switch over exclusively to QR codes. Published 20 April 2026. Accessed 17 October 2026.
12. ISO/IEC JTC 1/SC 31 — ISO/IEC WD 18004, QR code bar code symbology specification (Edition 5). Stage dates February to June 2026. Accessed 17 October 2026.
13. National Payments Corporation of India — Merchant Discount Rate (MDR) on Select UPI (P2M) Transactions: Frequently Asked Questions. Dated 15 September 2026. Accessed 17 October 2026.
14. Agencia Tributaria (Spain) — Cuestiones generales: Sistemas informáticos de facturación y VERI*FACTU. Page updated 13 October 2026. Accessed 17 October 2026.
15. Boletín Oficial del Estado — Real Decreto-ley 15/2025, de 2 de diciembre. Published 3 December 2025. Accessed 17 October 2026.