Le QR code a un avantage évident : il évite de saisir une adresse sur un téléphone. Il a aussi un défaut pour l’utilisateur pressé : la destination est cachée derrière une image. Sur une borne de stationnement, une affiche ou un message, il faut donc faire une pause entre le scan et le paiement. C’est à ce moment que l’on peut encore vérifier où l’on s’apprête à aller.
Le « quishing » désigne un hameçonnage qui utilise un QR code. Cybermalveillance.gouv.fr documente notamment des codes frauduleux associés à de faux avis de passage, des contraventions ou des équipements de paiement. La présence du code sur un support qui paraît officiel ne suffit donc pas à prouver son origine.
Le premier signal se trouve souvent autour du code
Avant même de scanner, observez le support. Une étiquette semble-t-elle recouvrir une impression d’origine ? Les instructions vous demandent-elles d’utiliser un autre site que celui mentionné ailleurs sur la borne ? Un message inattendu vous impose-t-il de payer immédiatement pour éviter une pénalité ? Aucun de ces indices ne constitue seul une preuve, mais ils justifient une vérification.
Un autocollant peut avoir une raison légitime. À l’inverse, une affiche très propre peut être frauduleuse. Le but n’est pas de devenir expert en impression : il est de ne pas confondre l’apparence d’un service avec la confirmation que vous dialoguez avec lui.
Vous pouvez attendre quelques secondes avant de payer.
Sur un parking, cherchez par exemple le nom de l’opérateur sur la signalétique principale et comparez-le à celui de l’application ou du site déjà connu. Dans un message de livraison, ouvrez vous-même le suivi depuis le service habituel plutôt que de continuer depuis le code. Cette démarche indépendante évite de demander à la page suspecte de prouver elle-même qu’elle est authentique.
Après le scan, regardez l’adresse avant le formulaire
Le ministère de l’Intérieur recommande de vérifier l’adresse du site vers lequel le QR code redirige. Un nom de marque dans le début d’une adresse, dans un sous-domaine ou dans le chemin d’une page ne garantit pas que le domaine appartient à cette marque. Il faut lire l’adresse entière, et ne pas se contenter du titre ou du logo.
De même, la présence de HTTPS indique une connexion chiffrée avec le site visité ; elle ne transforme pas ce site en interlocuteur honnête. Une page de paiement frauduleuse peut avoir un aspect soigné, une connexion chiffrée et un formulaire parfaitement fonctionnel.
- Regardez le domaine réellement ouvert après la redirection.
- Si l’adresse est raccourcie ou difficile à interpréter, vérifiez le service par un autre chemin.
- Ne fournissez pas un identifiant pour une opération qui n’en demande normalement pas.
- N’installez pas une application proposée par une page inattendue pour « terminer » un simple paiement.
Il arrive qu’un opérateur utilise un prestataire de paiement ou un domaine différent. Cette possibilité explique pourquoi une adresse inconnue n’est pas automatiquement une fraude. Elle explique aussi pourquoi la vérification doit passer par la documentation ou les coordonnées connues de l’opérateur, plutôt que par un numéro affiché uniquement sur la page douteuse.
Si vous avez déjà continué, distinguez le scan des informations transmises
Scanner un code ne signifie pas systématiquement qu’un compte a été compromis. Les suites utiles dépendent de ce que vous avez fait : simplement ouvert une page, saisi un mot de passe, communiqué une carte ou installé un programme. Notez l’adresse, le moment et les actions réalisées ; ces détails aideront à traiter le problème sans tirer de conclusion trop rapide.
Si des informations de paiement ont été transmises à une page suspecte, contactez votre banque par ses coordonnées habituelles. Si un mot de passe a été saisi, changez-le depuis le vrai service et examinez les connexions ainsi que les options de sécurité. Ne poursuivez pas une conversation de « support » avec le contact fourni par la page en question.
Pour un équipement public, prévenir l’opérateur peut aussi éviter que le code trompe d’autres personnes. La bonne habitude n’est pas d’abandonner tous les QR codes. C’est de garder la même exigence de vérification qu’avec un lien reçu par courriel, surtout juste avant de transmettre des informations.
Je suis Romain, rédacteur passionné par tout ce qui touche au high-tech, à la crypto, et à l’innovation. Diplômé d’une école de marketing à Paris, je mets ma plume au service des dernières tendances et avancées technologiques.
