QR code frauduleux : comment repérer le quishing

En bref

Avant d’ouvrir un QR code, vérifiez son support et l’adresse affichée par le téléphone. Pour un paiement ou une démarche, quittez la page et ouvrez vous-même l’application ou le site officiel.

Temps pour agir : 2 minutes

Un QR code ne montre pas directement l’adresse qu’il contient. C’est précisément ce qui le rend utile aux fraudeurs : il peut conduire vers une fausse page de paiement, un formulaire de connexion ou le téléchargement d’une application malveillante.

Les scénarios courants imitent une contravention, un avis de passage, un parcmètre, une borne de recharge ou une connexion à un service professionnel. Un autocollant frauduleux peut aussi recouvrir le QR code d’origine.

Ce qu’il faut faire maintenant

Inspectez le support
Recherchez un autocollant superposé, une impression de mauvaise qualité ou un emplacement incohérent.
Lisez l’adresse avant d’ouvrir
Le téléphone affiche généralement un aperçu du domaine. Annulez si le nom ne correspond pas exactement au service attendu.
Revenez au canal officiel
Pour payer ou vous connecter, ouvrez l’application connue ou saisissez vous-même l’adresse du service.

Ce que le cadenas ne garantit pas

Une page frauduleuse peut utiliser HTTPS et afficher un cadenas. Cela signifie que la connexion avec cette page est chiffrée, pas que son propriétaire est honnête. Regardez le nom de domaine complet avant le premier slash et méfiez-vous des variantes typographiques.

Un site qui exige immédiatement une carte, un identifiant Microsoft ou un téléchargement doit vous faire interrompre la démarche.

Vous avez scanné le code

Si vous n’avez rien saisi ni installé, fermez la page. Si vous avez communiqué un mot de passe, changez-le depuis le vrai service et fermez les sessions inconnues. Pour des données bancaires, contactez immédiatement la banque. Si une application a été installée, désinstallez-la, vérifiez ses autorisations et lancez une analyse de sécurité.

Alerter le lieu concerné

Sur un parcmètre, une borne ou une affiche, prévenez le gestionnaire sans arracher vous-même l’étiquette si cela vous expose. Photographiez l’emplacement et le QR code à distance. Le gestionnaire pourra neutraliser le support et avertir les autres usagers.