Arnaque au QR code : le quishing
Un QR ne montre pas où il mène : c’est ce qu’exploitent les escrocs. Un autocollant sur un horodateur, un faux courrier, un e-mail « urgent » : voici comment ne pas tomber dans le piège.
Qu’est-ce que le quishing ?
C’est de l’hameçonnage (phishing) par QR code : le QR mène vers une fausse page qui imite un vrai service pour te faire payer ou saisir tes identifiants. Le mot vient de « QR » et « phishing ».
L’astuce des escrocs : on ne voit pas l’adresse d’un QR avant de le scanner, et on fait souvent confiance à un QR posé dans un lieu public.
Où trouve-t-on ces faux QR codes ?
Sur des horodateurs et bornes de recharge (autocollant collé sur le vrai QR), dans de faux courriers ou avis de passage, dans des e-mails qui demandent de « vérifier ton compte », sur des flyers glissés sous les essuie-glaces.
- Un QR autocollant posé par-dessus un autre, ou de travers.
- Une urgence : amende à payer, compte bloqué, colis en attente.
- Une page qui demande carte bancaire ou mot de passe juste après le scan.
- Une adresse qui ressemble au vrai site, à une lettre près.
Que fait Scanotte contre les QR malveillants ?
Le code de Scanotte prévoit une vérification de chaque destination avec Google Web Risk à l’enregistrement, quand ce service est activé : une destination connue comme dangereuse serait alors refusée, et celles qui sont scannées seraient revérifiées chaque jour, car une page peut devenir malveillante après coup.
Toute personne peut signaler un QR ou un lien Scanotte depuis la page de signalement ; un lien bloqué affiche un avertissement au lieu de rediriger. L’application prévient aussi le créateur quand un lien ressemble à une page de connexion ou de paiement. Plus de détails dans un lien court est-il sûr ?.
Comment rassurer les gens qui scannent mes QR ?
Imprime le QR directement sur ton support plutôt qu’en autocollant, écris à côté ce qu’il ouvre et le nom de ton site, et vérifie régulièrement qu’aucun autocollant n’a été posé dessus.
Pour un paiement, renvoie vers ta vraie page de paiement et jamais vers un formulaire improvisé ; vois aussi le QR code de virement SEPA.
Questions fréquentes
Scanner un QR peut-il pirater mon téléphone ?
Le scan seul ne fait qu’afficher une adresse. Le danger vient de ce que tu fais ensuite sur la page : saisie de données, paiement, téléchargement.
Comment signaler un QR Scanotte suspect ?
Utilise la page de signalement de Scanotte avec l’adresse affichée au scan. L’équipe peut bloquer le lien.
Un QR sur une amende papier est-il fiable ?
Vérifie toujours en tapant toi-même l’adresse officielle indiquée par l’administration plutôt qu’en suivant le QR.
Les QR des restaurants sont-ils risqués ?
Rarement, mais un autocollant collé par-dessus peut l’être. Regarde l’adresse : elle doit correspondre au restaurant ou à son prestataire.
Comment se protéger quand on scanne ?
Lis l’adresse affichée avant d’ouvrir, et ne paie ni ne te connecte depuis un QR trouvé dans la rue ou reçu sans l’avoir demandé. En cas de doute, tape toi-même l’adresse officielle du service ou passe par son application.
Le mode d’emploi du scan est dans scanner un QR code sur iPhone ou Android. Si tu as déjà payé, contacte ta banque au plus vite.