QR code : pourquoi il faut désormais vérifier l’adresse avant d’ouvrir la page

Le QR code s’est imposé partout : menus de restaurants, affiches, billets, bornes de paiement, stationnement, colis et authentification. Son avantage est aussi sa faiblesse : contrairement à un lien classique, l’adresse de destination n’est pas visible avant le scan. Cette opacité est exploitée par le « quishing », contraction de QR code et phishing.

Le principe est simple : un QR code malveillant redirige vers une page qui imite un service légitime afin de récupérer des identifiants, des coordonnées bancaires ou de pousser au téléchargement d’un logiciel.

Le danger vient de la destination, pas du QR code lui-même

Un QR code est seulement une façon d’encoder une information, souvent une URL. Le risque dépend de ce qui se trouve derrière. Un autocollant frauduleux peut par exemple être posé par-dessus le QR code officiel d’un horodateur, d’une affiche ou d’une table de restaurant.

La victime pense scanner un support physique fiable et baisse sa vigilance. C’est ce transfert de confiance — du support vers le lien — que l’attaquant exploite.

Regardez l’adresse avant d’ouvrir

La plupart des smartphones affichent aujourd’hui un aperçu du lien avant l’ouverture. Prenez l’habitude de le lire. Vérifiez le nom de domaine, pas seulement les premiers mots. Une adresse très longue, un domaine inconnu ou une faute subtile dans le nom d’une marque doit vous faire renoncer.

Pour une opération sensible — paiement, connexion bancaire, administration — il est souvent préférable d’ouvrir directement l’application officielle ou de saisir l’adresse connue plutôt que de suivre un QR code trouvé dans un lieu public.

Un faux QR code collé sur une borne peut renvoyer vers une copie crédible du service et demander les coordonnées de carte. Le montant affiché peut être faible afin de ne pas alerter. Les données récupérées peuvent ensuite être utilisées pour des paiements plus importants.

Avant de payer, vérifiez que le domaine correspond exactement au prestataire attendu et que le contexte est cohérent. Si le QR code semble être un autocollant ajouté sur un autre support, ne l’utilisez pas.

Dans un e-mail, un filtre peut analyser un lien écrit. Un QR code présenté sous forme d’image peut être plus difficile à détecter pour certains systèmes et pousse parfois l’utilisateur à transférer l’action vers son téléphone personnel, où il se sent moins méfiant.

Les entreprises sont donc elles aussi concernées : un faux message interne peut contenir un QR code prétendant renouveler un mot de passe ou activer une authentification.

Que faire après un scan douteux

Si vous n’avez saisi aucune information, fermez simplement la page. Si vous avez communiqué un mot de passe, changez-le rapidement et activez l’authentification à deux facteurs. Si vous avez renseigné une carte bancaire, surveillez les opérations et contactez votre banque en cas de doute.

• Inspecter physiquement le QR code lorsqu’il est collé dans un lieu public.
• Lire l’URL affichée avant d’ouvrir.
• Préférer l’application officielle pour les paiements et services sensibles.
• Ne jamais installer une application depuis un QR code inattendu.
• Traiter un QR code reçu par e-mail avec la même méfiance qu’un lien.

Sur un horodateur, une affiche ou une borne, regardez si le code semble être un autocollant ajouté par-dessus un autre. En cas de doute, passez par l’application officielle ou tapez vous-même l’adresse du service. Le QR code n’est pas dangereux en soi : le risque vient de la destination et des informations que vous y saisissez. N’accordez donc pas davantage de confiance à une page simplement parce qu’elle a été ouverte par un code imprimé dans un lieu réel.

La commodité du QR code ne doit pas supprimer l’étape de vérification. Quelques secondes consacrées au nom de domaine suffisent souvent à faire la différence.