{"id":3679,"date":"2025-08-04T09:00:00","date_gmt":"2025-08-04T07:00:00","guid":{"rendered":"https:\/\/blog.elpisia.com\/2025\/08\/04\/sec-qr-codes\/"},"modified":"2026-07-25T07:14:35","modified_gmt":"2026-07-25T05:14:35","slug":"sec-qr-codes","status":"publish","type":"post","link":"https:\/\/blog.elpisia.com\/es\/2025\/08\/04\/sec-qr-codes\/","title":{"rendered":"QR codes pi\u00e9g\u00e9s : scanner sans se faire avoir"},"content":{"rendered":"

Menu du restaurant, borne de parking, affiche de concert, colis \u00e0 suivre : le QR code est devenu le pont universel entre le monde physique et le web \u2014 et les escrocs l’ont compris. Un autocollant frauduleux par-dessus le vrai code, et voil\u00e0 votre t\u00e9l\u00e9phone dirig\u00e9 vers un faux site de paiement, sans qu’aucun des r\u00e9flexes habituels ne vous ait alert\u00e9s : c’est le \u00ab quishing \u00bb, le hame\u00e7onnage par QR code, en pleine explosion. La parade existe et tient en quelques habitudes simples. Voici comment scanner sereinement \u2014 et rep\u00e9rer les codes pi\u00e9g\u00e9s avant qu’ils ne vous co\u00fbtent cher.<\/p>\n

Pourquoi le QR code est l’arme id\u00e9ale des escrocs<\/h2>\n

Le QR code a une propri\u00e9t\u00e9 qui change tout pour la fraude : il est illisible pour un humain<\/strong>. Devant un lien \u00e9crit, votre \u0153il peut tiquer sur une adresse bizarre ; devant un damier noir et blanc, personne ne voit rien \u2014 la v\u00e9rification ne peut se faire qu’apr\u00e8s<\/em> le scan. Ajoutez trois ingr\u00e9dients : le contexte de confiance<\/strong> (un code sur un parcm\u00e8tre officiel, une table de restaurant, un courrier d’apparence administrative h\u00e9rite de la l\u00e9gitimit\u00e9 de son support \u2014 l’escroc n’a qu’\u00e0 coller son autocollant sur un support respectable) ; la situation de h\u00e2te<\/strong> (on scanne un code de parking pour \u00e9viter le PV, une pi\u00e8ce d’identit\u00e9 de colis entre deux portes \u2014 pr\u00e9cis\u00e9ment les moments o\u00f9 la vigilance tombe) ; et le passage imm\u00e9diat au paiement<\/strong> (beaucoup d’usages l\u00e9gitimes du QR code demandent une carte bancaire dans la foul\u00e9e \u2014 la victime trouve donc normal de payer). Les terrains de chasse document\u00e9s : les bornes de stationnement<\/strong> (faux autocollants par-dessus le vrai code \u2014 des campagnes enti\u00e8res ont touch\u00e9 des villes), les bornes de recharge \u00e9lectrique<\/strong>, les faux avis de passage et amendes envoy\u00e9s par courrier, les menus et affiches en terrasse, et les QR codes dans les mails de phishing (qui \u00e9chappent aux filtres qui analysent les liens).<\/p>\n

\"QR<\/figure>\n

Le r\u00e9flexe qui sauve : lire l’adresse AVANT d’ouvrir<\/h2>\n

La bonne nouvelle : votre t\u00e9l\u00e9phone vous montre d\u00e9j\u00e0 tout ce qu’il faut. Quand l’appareil photo d\u00e9tecte un QR code, il affiche une banni\u00e8re avec le d\u00e9but de l’adresse web<\/strong> \u2014 c’est LE moment de v\u00e9rification, avant d’ouvrir : prenez deux secondes pour la lire. Ce qu’on v\u00e9rifie : le nom de domaine<\/strong> \u2014 la partie juste avant le premier \u00ab \/ \u00bb \u2014 doit correspondre \u00e0 l’acteur attendu (l’op\u00e9rateur de parking affich\u00e9 sur la borne, le site officiel du service public, le transporteur du colis) ; m\u00e9fiance absolue devant les domaines \u00e0 rallonge qui contiennent le nom l\u00e9gitime en pr\u00e9fixe (\u00ab nomconnu-paiement-securise.xyz \u00bb n’est PAS nomconnu), les fautes subtiles, les extensions exotiques, et les raccourcisseurs d’URL<\/strong> (un lien raccourci masque la destination \u2014 dans un contexte de paiement, c’est disqualifiant). En cas de doute, la r\u00e8gle d’or : ne pas scanner \u2014 taper<\/strong>. L’adresse officielle du service saisie \u00e0 la main dans le navigateur, ou l’application officielle du parking\/transporteur ouverte directement, m\u00e8nent au m\u00eame service sans l’interm\u00e9diaire du damier. Le QR code n’est jamais qu’un raccourci : quand le raccourci est douteux, on prend la route principale.<\/p>\n

\n

La reacci\u00f3n adecuada.<\/strong> Sur les supports de paiement (parking, recharge, dons), examinez le code physiquement<\/strong> avant de scanner : un autocollant coll\u00e9 par-dessus (bords qui rebiquent, l\u00e9ger relief, d\u00e9salignement avec l’impression du panneau, code qui masque partiellement un autre) est le signe d’un pi\u00e8ge pos\u00e9 \u2014 grattez un coin dans le doute. Les codes imprim\u00e9s DANS le support (grav\u00e9s, imprim\u00e9s d’origine dans l’affiche) sont fiables ; les codes rapport\u00e9s m\u00e9ritent l’examen. Et si l’autocollant est suspect : photographiez, ne scannez pas, pr\u00e9venez l’exploitant \u2014 vous \u00e9viterez la m\u00e9saventure aux suivants.<\/p>\n

\"QR<\/figure>\n<\/div>\n

Apr\u00e8s le scan : les pi\u00e8ges de la page d’arriv\u00e9e<\/h2>\n

Le scan n’est que la porte \u2014 c’est la page derri\u00e8re qui d\u00e9pouille, et elle a un sc\u00e9nario type : une copie visuelle<\/strong> du service attendu (logos, couleurs, mise en page \u2014 trivial \u00e0 imiter), un parcours pressant<\/strong> (\u00ab votre stationnement expire \u00bb, \u00ab dernier rappel avant majoration \u00bb), et un formulaire de carte bancaire<\/strong> complet \u2014 num\u00e9ro, expiration, cryptogramme, parfois suivi d’une demande de code SMS (qui sert en r\u00e9alit\u00e9 \u00e0 valider un paiement ou l’enr\u00f4lement de votre carte chez l’escroc). Les v\u00e9rifications sur la page : l’adresse dans la barre du navigateur (encore elle \u2014 c’est le seul \u00e9l\u00e9ment infalsifiable), la coh\u00e9rence du montant, et les incoh\u00e9rences de d\u00e9tail (fran\u00e7ais approximatif, mentions l\u00e9gales absentes, pas de compte client l\u00e0 o\u00f9 le vrai service en a un). Deux protections structurelles \u00e0 adopter : payer ces services via leur application officielle<\/strong> install\u00e9e une fois pour toutes (parking, recharge, transports \u2014 l’app \u00e9vite d\u00e9finitivement la question du faux site), et utiliser Apple Pay ou une carte virtuelle<\/strong> quand le paiement web s’impose \u2014 le num\u00e9ro r\u00e9el n’est pas expos\u00e9, et une carte virtuelle plafonn\u00e9e limite m\u00e9caniquement les d\u00e9g\u00e2ts.<\/p>\n

Si vous avez mordu : la proc\u00e9dure d’urgence<\/h2>\n

Carte saisie sur une page douteuse ? La rapidit\u00e9 change tout : 1.<\/strong> Opposition imm\u00e9diate<\/strong> sur la carte (app bancaire ou num\u00e9ro d’opposition \u2014 la carte se verrouille en deux minutes depuis l’application, et beaucoup de banques permettent de la d\u00e9verrouiller si fausse alerte) ; 2.<\/strong> V\u00e9rifiez les op\u00e9rations r\u00e9centes<\/strong> et signalez toute transaction inconnue \u2014 la contestation des paiements non autoris\u00e9s est un droit, et la banque rembourse dans la plupart des cas de fraude av\u00e9r\u00e9e (d\u00e9lais courts : agissez sans attendre) ; 3.<\/strong> Si un code SMS a \u00e9t\u00e9 communiqu\u00e9<\/strong>, dites-le explicitement \u00e0 la banque (cela change la qualification de l’op\u00e9ration \u2014 et ne vous prive pas n\u00e9cessairement du remboursement, la jurisprudence prot\u00e8ge largement les victimes de man\u0153uvres frauduleuses) ; 4.<\/strong> Signalez<\/strong> : la plateforme officielle de signalement des escroqueries en ligne, et l’exploitant du support pi\u00e9g\u00e9 (mairie, op\u00e9rateur de parking). Si seuls des identifiants (mail, mot de passe) ont \u00e9t\u00e9 saisis : changez-les imm\u00e9diatement partout o\u00f9 ils resservent, et activez la double authentification. Aucune honte \u00e0 avoir \u2014 ces dispositifs sont con\u00e7us par des professionnels de la manipulation : la seule erreur durable serait de ne pas r\u00e9agir vite.<\/p>\n

\"QR<\/figure>\n
\n

Attention.<\/strong> Ne t\u00e9l\u00e9chargez jamais une application via un QR code<\/strong> hors des boutiques officielles : un code qui propose d’installer un \u00ab profil \u00bb, un \u00ab certificat \u00bb ou une app hors App Store\/Play Store est une attaque, point final \u2014 les vraies apps s’installent depuis la boutique, o\u00f9 vous pouvez les chercher vous-m\u00eame. M\u00e9fiance \u00e9gale devant les QR codes qui pr\u00e9-remplissent un virement bancaire<\/strong> ou ouvrent directement une app de paiement entre particuliers : v\u00e9rifiez le b\u00e9n\u00e9ficiaire comme vous v\u00e9rifieriez un IBAN inconnu. Le damier n’a aucun droit que vous ne lui donnez \u2014 gardez la main sur chaque \u00e9tape qui suit le scan.<\/p>\n<\/div>\n

Preguntas frecuentes<\/h2>\n

Scanner un QR code peut-il infecter mon t\u00e9l\u00e9phone \u00e0 lui seul ?<\/h3>\n

Non \u2014 le scan ne fait qu’afficher une adresse : le danger commence si vous ouvrez le lien et agissez (saisir des donn\u00e9es, valider une installation). C’est rassurant et structurant : toute la d\u00e9fense tient dans les deux secondes entre la banni\u00e8re affich\u00e9e et votre appui \u2014 le scan lui-m\u00eame est inoffensif.<\/p>\n

\"QR<\/figure>\n

Les QR codes des restaurants sont-ils risqu\u00e9s ?<\/h3>\n

Le menu consult\u00e9 ne demande ni compte ni carte \u2014 le risque y est faible. La vigilance monte d’un cran quand le code m\u00e8ne \u00e0 un paiement d’addition en ligne : v\u00e9rifiez le domaine, pr\u00e9f\u00e9rez le paiement au terminal du serveur en cas de doute. Le crit\u00e8re est constant : pas d’argent ni d’identifiants = risque faible ; paiement = v\u00e9rifications.<\/p>\n

Comment prot\u00e9ger un parent qui scanne tout sans lire ?<\/h3>\n

Installez-lui les applications officielles de ses usages r\u00e9els (parking de sa ville, transporteur, banque) \u2014 le besoin de scanner dispara\u00eet pour l’essentiel \u2014 et transmettez la r\u00e8gle unique : \u00ab un QR code qui finit par demander la carte bancaire = tu m’appelles avant \u00bb. Un seul r\u00e9flexe simple prot\u00e8ge mieux que dix consignes oubli\u00e9es.<\/p>\n

\"QR<\/figure>\n

Lo que hay que recordar<\/h2>\n

Le QR code pi\u00e9g\u00e9 prosp\u00e8re sur un angle mort : le damier est illisible, le support inspire confiance, la h\u00e2te fait le reste. La d\u00e9fense tient en trois temps : avant<\/strong> \u2014 examiner physiquement les codes rapport\u00e9s (autocollants !) sur les supports de paiement ; pendant<\/strong> \u2014 lire la banni\u00e8re d’adresse avant d’ouvrir, disqualifier les domaines \u00e0 rallonge et les liens raccourcis ; apr\u00e8s<\/strong> \u2014 v\u00e9rifier l’adresse en barre de navigation avant toute saisie, pr\u00e9f\u00e9rer les apps officielles et les paiements tokenis\u00e9s (Apple Pay, cartes virtuelles). En cas de doute, taper l’adresse officielle soi-m\u00eame ; en cas de chute, opposition et contestation imm\u00e9diates \u2014 la vitesse est votre meilleure alli\u00e9e. Le QR code reste un excellent outil : il suffit de se rappeler qu’un raccourci vers l’inconnu se v\u00e9rifie toujours avant de s’y engager.<\/p>\n

\"QR<\/figure>\n
\"QR<\/figure>\n
\n

Un doute sur votre s\u00e9curit\u00e9, un appareil \u00e0 v\u00e9rifier ou \u00e0 assainir ? Notre service d’assistance vous accompagne pas \u00e0 pas.<\/p>\n

Demander un d\u00e9pannage →<\/a><\/p>\n<\/div>","protected":false},"excerpt":{"rendered":"

Menu du restaurant, borne de parking, affiche de concert, colis \u00e0 suivre : le QR code est devenu le pont universel entre le monde physique et le web \u2014 et les escrocs l’ont compris.<\/p>","protected":false},"author":1,"featured_media":3680,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[11],"tags":[],"class_list":["post-3679","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-securite-vie-privee"],"_links":{"self":[{"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/posts\/3679","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/comments?post=3679"}],"version-history":[{"count":1,"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/posts\/3679\/revisions"}],"predecessor-version":[{"id":3688,"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/posts\/3679\/revisions\/3688"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/media\/3680"}],"wp:attachment":[{"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/media?parent=3679"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/categories?post=3679"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.elpisia.com\/es\/wp-json\/wp\/v2\/tags?post=3679"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}