QR codes piégés : scanner sans se faire avoir

Menu du restaurant, borne de parking, affiche de concert, colis à suivre : le QR code est devenu le pont universel entre le monde physique et le web — et les escrocs l’ont compris. Un autocollant frauduleux par-dessus le vrai code, et voilà votre téléphone dirigé vers un faux site de paiement, sans qu’aucun des réflexes habituels ne vous ait alertés : c’est le « quishing », le hameçonnage par QR code, en pleine explosion. La parade existe et tient en quelques habitudes simples. Voici comment scanner sereinement — et repérer les codes piégés avant qu’ils ne vous coûtent cher.

Pourquoi le QR code est l’arme idéale des escrocs

Le QR code a une propriété qui change tout pour la fraude : il est illisible pour un humain. Devant un lien écrit, votre œil peut tiquer sur une adresse bizarre ; devant un damier noir et blanc, personne ne voit rien — la vérification ne peut se faire qu’après le scan. Ajoutez trois ingrédients : le contexte de confiance (un code sur un parcmètre officiel, une table de restaurant, un courrier d’apparence administrative hérite de la légitimité de son support — l’escroc n’a qu’à coller son autocollant sur un support respectable) ; la situation de hâte (on scanne un code de parking pour éviter le PV, une pièce d’identité de colis entre deux portes — précisément les moments où la vigilance tombe) ; et le passage immédiat au paiement (beaucoup d’usages légitimes du QR code demandent une carte bancaire dans la foulée — la victime trouve donc normal de payer). Les terrains de chasse documentés : les bornes de stationnement (faux autocollants par-dessus le vrai code — des campagnes entières ont touché des villes), les bornes de recharge électrique, les faux avis de passage et amendes envoyés par courrier, les menus et affiches en terrasse, et les QR codes dans les mails de phishing (qui échappent aux filtres qui analysent les liens).

Le réflexe qui sauve : lire l’adresse AVANT d’ouvrir

La bonne nouvelle : votre téléphone vous montre déjà tout ce qu’il faut. Quand l’appareil photo détecte un QR code, il affiche une bannière avec le début de l’adresse web — c’est LE moment de vérification, avant d’ouvrir : prenez deux secondes pour la lire. Ce qu’on vérifie : le nom de domaine — la partie juste avant le premier « / » — doit correspondre à l’acteur attendu (l’opérateur de parking affiché sur la borne, le site officiel du service public, le transporteur du colis) ; méfiance absolue devant les domaines à rallonge qui contiennent le nom légitime en préfixe (« nomconnu-paiement-securise.xyz » n’est PAS nomconnu), les fautes subtiles, les extensions exotiques, et les raccourcisseurs d’URL (un lien raccourci masque la destination — dans un contexte de paiement, c’est disqualifiant). En cas de doute, la règle d’or : ne pas scanner — taper. L’adresse officielle du service saisie à la main dans le navigateur, ou l’application officielle du parking/transporteur ouverte directement, mènent au même service sans l’intermédiaire du damier. Le QR code n’est jamais qu’un raccourci : quand le raccourci est douteux, on prend la route principale.

Le bon réflexe. Sur les supports de paiement (parking, recharge, dons), examinez le code physiquement avant de scanner : un autocollant collé par-dessus (bords qui rebiquent, léger relief, désalignement avec l’impression du panneau, code qui masque partiellement un autre) est le signe d’un piège posé — grattez un coin dans le doute. Les codes imprimés DANS le support (gravés, imprimés d’origine dans l’affiche) sont fiables ; les codes rapportés méritent l’examen. Et si l’autocollant est suspect : photographiez, ne scannez pas, prévenez l’exploitant — vous éviterez la mésaventure aux suivants.

Après le scan : les pièges de la page d’arrivée

Le scan n’est que la porte — c’est la page derrière qui dépouille, et elle a un scénario type : une copie visuelle du service attendu (logos, couleurs, mise en page — trivial à imiter), un parcours pressant (« votre stationnement expire », « dernier rappel avant majoration »), et un formulaire de carte bancaire complet — numéro, expiration, cryptogramme, parfois suivi d’une demande de code SMS (qui sert en réalité à valider un paiement ou l’enrôlement de votre carte chez l’escroc). Les vérifications sur la page : l’adresse dans la barre du navigateur (encore elle — c’est le seul élément infalsifiable), la cohérence du montant, et les incohérences de détail (français approximatif, mentions légales absentes, pas de compte client là où le vrai service en a un). Deux protections structurelles à adopter : payer ces services via leur application officielle installée une fois pour toutes (parking, recharge, transports — l’app évite définitivement la question du faux site), et utiliser Apple Pay ou une carte virtuelle quand le paiement web s’impose — le numéro réel n’est pas exposé, et une carte virtuelle plafonnée limite mécaniquement les dégâts.

Si vous avez mordu : la procédure d’urgence

Carte saisie sur une page douteuse ? La rapidité change tout : 1. Opposition immédiate sur la carte (app bancaire ou numéro d’opposition — la carte se verrouille en deux minutes depuis l’application, et beaucoup de banques permettent de la déverrouiller si fausse alerte) ; 2. Vérifiez les opérations récentes et signalez toute transaction inconnue — la contestation des paiements non autorisés est un droit, et la banque rembourse dans la plupart des cas de fraude avérée (délais courts : agissez sans attendre) ; 3. Si un code SMS a été communiqué, dites-le explicitement à la banque (cela change la qualification de l’opération — et ne vous prive pas nécessairement du remboursement, la jurisprudence protège largement les victimes de manœuvres frauduleuses) ; 4. Signalez : la plateforme officielle de signalement des escroqueries en ligne, et l’exploitant du support piégé (mairie, opérateur de parking). Si seuls des identifiants (mail, mot de passe) ont été saisis : changez-les immédiatement partout où ils resservent, et activez la double authentification. Aucune honte à avoir — ces dispositifs sont conçus par des professionnels de la manipulation : la seule erreur durable serait de ne pas réagir vite.

Questions fréquentes

Scanner un QR code peut-il infecter mon téléphone à lui seul ?

Non — le scan ne fait qu’afficher une adresse : le danger commence si vous ouvrez le lien et agissez (saisir des données, valider une installation). C’est rassurant et structurant : toute la défense tient dans les deux secondes entre la bannière affichée et votre appui — le scan lui-même est inoffensif.

Les QR codes des restaurants sont-ils risqués ?

Le menu consulté ne demande ni compte ni carte — le risque y est faible. La vigilance monte d’un cran quand le code mène à un paiement d’addition en ligne : vérifiez le domaine, préférez le paiement au terminal du serveur en cas de doute. Le critère est constant : pas d’argent ni d’identifiants = risque faible ; paiement = vérifications.

Comment protéger un parent qui scanne tout sans lire ?

Installez-lui les applications officielles de ses usages réels (parking de sa ville, transporteur, banque) — le besoin de scanner disparaît pour l’essentiel — et transmettez la règle unique : « un QR code qui finit par demander la carte bancaire = tu m’appelles avant ». Un seul réflexe simple protège mieux que dix consignes oubliées.

Ce qu’il faut retenir

Le QR code piégé prospère sur un angle mort : le damier est illisible, le support inspire confiance, la hâte fait le reste. La défense tient en trois temps : avant — examiner physiquement les codes rapportés (autocollants !) sur les supports de paiement ; pendant — lire la bannière d’adresse avant d’ouvrir, disqualifier les domaines à rallonge et les liens raccourcis ; après — vérifier l’adresse en barre de navigation avant toute saisie, préférer les apps officielles et les paiements tokenisés (Apple Pay, cartes virtuelles). En cas de doute, taper l’adresse officielle soi-même ; en cas de chute, opposition et contestation immédiates — la vitesse est votre meilleure alliée. Le QR code reste un excellent outil : il suffit de se rappeler qu’un raccourci vers l’inconnu se vérifie toujours avant de s’y engager.