LA PISTEMÉDIA

Faux QR code sur une affiche ou un parking : comment éviter le piège

Tech & numérique4 min de lectureDécryptage

Publié par Inès D.

Un QR code imprimé sur une borne, une affiche ou un courrier n'est pas nécessairement sûr. Les escrocs peuvent parfois remplacer un autocollant authentique par un autre qui ouvre un site imitant un service connu. Cette variante de l'hameçonnage, appelée « quishing », a fait l'objet d'une fiche mise à jour par Cybermalveillance.gouv.fr en août 2026. Le risque n'est pas le carré noir lui-même, mais l'adresse vers laquelle il conduit.

QR code imprimé sur un panneau du sentier Neckarsteig à Heidelberg, photographié antérieurement. Il illustre un code authentique et ne documente aucune fraude. Photographie recadrée.
QR code imprimé sur un panneau du sentier Neckarsteig à Heidelberg, photographié antérieurement. Il illustre un code authentique et ne documente aucune fraude. Photographie recadrée. Photo : Sarang · Public domain, recadrage éditorial.

Pourquoi le code paraît crédible

La force du QR code est de supprimer une étape : le téléphone ouvre directement une page sans qu'il soit nécessaire de taper une adresse. Ce confort peut aussi réduire la vigilance. Une personne qui pense se trouver devant une borne officielle peut considérer, à tort, que toute adresse proposée par le code provient du même organisme.

Dans certaines fraudes, un autocollant remplace le code d'origine. Dans d'autres, un courrier ou un message électronique contient un code présenté comme un accès au suivi d'une commande, à une facture ou à un règlement urgent. Le document ou le support peut paraître sérieux ; il ne prouve pas la légitimité de la destination.

Cybermalveillance.gouv.fr emploie le terme « quishing » pour cette forme d'hameçonnage. Une page frauduleuse peut chercher à collecter un identifiant, un mot de passe ou des données de paiement, comme dans les autres escroqueries par lien.

Trois vérifications avant de continuer

La première consiste à regarder le support. Un code autocollant qui recouvre manifestement une information imprimée, une affiche abîmée ou un message inattendu sont des raisons de faire une vérification supplémentaire. Mais l'absence de signe visible ne garantit pas la sécurité : la fraude peut aussi être proprement imprimée.

La deuxième est de lire l'adresse affichée par le téléphone avant de l'ouvrir, si l'appareil propose un aperçu. Un domaine inhabituel, une suite de caractères sans rapport avec le service ou une variante trompeuse de son nom doivent alerter. Une connexion chiffrée en HTTPS n'est pas, à elle seule, une preuve que le site appartient au bon organisme.

Enfin, quand il s'agit de payer ou de fournir des informations sensibles, le plus prudent est de se rendre directement sur le site ou dans l'application officielle du service concerné. On peut aussi demander confirmation à un agent ou vérifier les consignes affichées sur une borne authentique.

Vous avez scanné, mais pas payé : que faire ?

Scanner un code n'est pas automatiquement synonyme de vol de données. Le risque dépend des actions réalisées ensuite. Si l'on s'est limité à regarder une adresse sans saisir d'information, la situation diffère de celle d'une personne qui a entré ses identifiants ou son numéro de carte.

En cas de mot de passe fourni sur une fausse page, il faut le changer rapidement depuis le véritable service, vérifier les sessions actives et activer une authentification multifacteur lorsque le compte le permet. En cas de données bancaires communiquées, contacter sans délai sa banque par ses canaux habituels. Il faut garder les éléments utiles : adresse du site, captures et références du paiement.

Les informations de Cybermalveillance.gouv.fr permettent d'identifier le bon interlocuteur selon le préjudice. La victime peut également signaler une fraude aux autorités compétentes. Il ne faut pas tenter de régler le problème en répondant au message d'origine.

Un QR code n'est pas dangereux par nature

Les QR codes restent utiles pour accéder à des menus, de la documentation ou des démarches. La plupart des usages ne relèvent pas de la fraude. L'objectif n'est donc pas de les bannir, mais de garder le même réflexe qu'avec un lien reçu par SMS : vérifier l'origine avant de fournir des informations confidentielles.

Un outil pratique ne doit pas faire disparaître l'étape de vérification lorsqu'il mène à une transaction. C'est particulièrement vrai lorsque la page demande une opération immédiate pour éviter une prétendue sanction.

La photographie représente des panneaux munis de QR codes au Japon lors d'une prise de vue antérieure. Elle illustre leur usage dans l'espace public et ne constitue pas une preuve de fraude sur ces panneaux.

Sources et références

Dans la rubrique Internet :

Partager cet article

Rechercher