QR code et sécurité : les pièges à éviter avant de scanner

Scanner un QR code est devenu un geste banal. Au restaurant pour consulter la carte, sur une affiche pour accéder à un site, sur un billet de train ou encore sur un horodateur pour payer son stationnement. Ce petit carré noir et blanc évite de taper de longues adresses et donne un accès immédiat à une page web. Mais cette rapidité a un revers : le QR code est aussi un vecteur d'attaques. Les fraudeurs remplacent un code légitime par un autocollant piégé, ou en créent un de toutes pièces, pour rediriger vers un site de phishing, un téléchargement malveillant ou une page qui récupère vos données personnelles. Quelques secondes d'inattention suffisent pour exposer ses identifiants, ses coordonnées bancaires ou l'accès à son smartphone.

Comment fonctionne une attaque par QR code ?

Le principe est simple : le QR code n'est qu'un vecteur. Il pointe vers une URL, et c'est cette URL qui est dangereuse. Le piège le plus courant est le QRishing, une variante du hameçonnage. Le code vous envoie vers un faux site qui imite celui d'une banque, d'un service public ou d'une marque connue. Vous saisissez vos identifiants sans vous méfier, et ils atterrissent directement entre les mains des fraudeurs.

Les attaques ne s'arrêtent pas là. Un QR code malveillant peut aussi :

• déclencher le téléchargement d'un logiciel malveillant sur votre appareil ;
• ouvrir une page qui récupère votre liste de contacts pour envoyer des messages frauduleux à votre entourage ;
• lancer un appel vers un numéro surtaxé ;
• envoyer des SMS vers des services payants ;
• vous amener sur une fausse page de paiement qui capture les données de votre carte bancaire.

Les fraudeurs utilisent aussi des raccourcisseurs d'URL pour masquer la véritable adresse de destination. Vous voyez un lien court et inoffensif, mais il renvoie en réalité vers un site frauduleux. C'est une technique fréquente dans les campagnes de quishing envoyées par email ou sur les réseaux sociaux.

Repérer un faux QR code avant de le scanner

La première chose à faire est d'observer le QR code lui-même. Un code authentique est net, bien imprimé et intégré à son support. Méfiez-vous d'un QR code flou, pixelisé, ou pire, imprimé sur une étiquette collée par-dessus un autre code. C'est la technique la plus répandue : les fraudeurs recouvrent un QR code légitime avec un autocollant qui redirige vers leur site piégé. Si le code semble bricolé ou déformé, ne le scannez pas.

Le contexte compte aussi. Un QR code sur la devanture d'un restaurant pour afficher le menu, c'est normal. Un QR code isolé sur un poteau, une cabine téléphonique ou un distributeur automatique, c'est suspect. Posez-vous toujours la question : est-ce que ce code a une raison logique d'être là ? En cas de doute, passez par le canal officiel : tapez directement l'adresse du site dans votre navigateur ou cherchez l'information sur le site de l'organisme concerné.

Les signes qui doivent alerter

• Un autocollant posé sur un autre QR code ou sur une affiche existante.
• Un QR code qui renvoie vers une URL qui ne correspond pas au contexte (un menu de restaurant qui mène vers un site de paiement, par exemple).
• Un QR code reçu par email, SMS ou message privé, surtout s'il vient d'un inconnu ou d'un expéditeur inhabituel.
• Un QR code qui demande une action urgente, comme "votre compte va être bloqué" ou "cliquez pour valider votre paiement".

Vérifier l'URL avant de cliquer, le réflexe qui change tout

Toutes les applications de scan ne se valent pas. Certaines ouvrent le lien directement, sans vous montrer la destination. D'autres affichent l'URL avant de l'ouvrir, ce qui vous laisse le temps de la vérifier. Utilisez systématiquement une application qui propose cette prévisualisation. Sur certains smartphones, notamment les modèles Samsung, l'URL s'affiche automatiquement lors du scan. C'est un bon réflexe à prendre.

Quand l'URL s'affiche, prenez le temps de l'examiner. Les fraudeurs utilisent des adresses qui imitent les sites officiels avec une lettre remplacée, une faute discrète ou une extension inhabituelle. Un ".info" au lieu d'un ".fr", un "0" à la place d'un "o", un nom de domaine légèrement modifié : ces détails trahissent souvent une tentative d'arnaque. Si l'URL est étrange, très courte ou ne correspond pas à ce que vous attendiez, fermez la notification et ne cliquez pas.

Les erreurs qui coûtent cher après le scan

La vigilance ne s'arrête pas au moment du scan. Une fois sur la page web, plusieurs comportements doivent vous mettre en alerte. Si le QR code devait vous amener vers une information précise et que vous arrivez sur une page de connexion, une demande de paiement ou un formulaire de données personnelles, c'est un signal d'alerte. Fermez la page et effacez l'historique de votre navigateur.

Autre piège fréquent : le QR code qui mène vers l'App Store ou Google Play pour télécharger une application. Vérifiez que l'éditeur de l'application correspond bien à l'entreprise qui prétend l'avoir développée. Les faux QR codes de l'application PayByPhone, par exemple, redirigent vers des sites frauduleux qui demandent un paiement pour télécharger une application pourtant gratuite. Si on vous demande de payer pour télécharger une application qui est normalement gratuite, c'est une arnaque.

Les règles à suivre après le scan

• Ne jamais installer une application de sécurité à partir d'un lien scanné. C'est souvent un logiciel malveillant déguisé.
• Ne pas saisir d'informations personnelles ou bancaires sur une page ouverte via un QR code, sauf si vous êtes certain de la légitimité du site.
• Si le QR code vous mène vers une page qui ne correspond pas à ce que vous attendiez, quitter immédiatement et fermer l'onglet.
• Signaler un QR code suspect aux responsables du lieu ou à la marque usurpée.

Ce que les chiffres disent sur nos habitudes de scan

Une enquête menée par MobileIron, une plateforme de sécurité mobile, auprès de consommateurs donne des chiffres éclairants sur le rapport des utilisateurs aux QR codes. 74 % des personnes interrogées estiment que les QR codes leur facilitent la vie. Mais dans le même temps, 51 % déclarent ne pas avoir de logiciel de sécurité sur leur smartphone. Et 51 % des répondants se disent inquiets pour la confidentialité et la sécurité de leurs données lors de l'utilisation des QR codes.

Le paradoxe est là : les QR codes sont massivement adoptés, jugés pratiques, mais une part importante des utilisateurs scanne sans protection et sans vérifier la destination. L'enquête montre aussi que 38 % des personnes ont scanné un QR code dans un restaurant, un bar ou un café au cours des six derniers mois, et 37 % dans un commerce de détail. Autant d'occasions où un code piégé peut passer inaperçu.

Adopter les bons réflexes, scan après scan

La sécurité avec les QR codes ne repose pas sur une solution technique miracle, mais sur une série de gestes simples à répéter à chaque scan. Vérifier l'apparence du code, s'interroger sur son emplacement, contrôler l'URL avant de cliquer, refuser les liens suspects : ces réflexes prennent quelques secondes et évitent la plupart des pièges.

Le point le plus important à retenir est le suivant : un QR code n'est qu'un raccourci vers une adresse web. Il ne garantit en rien la légitimité de la page de destination. Traitez chaque scan comme vous traiteriez un lien reçu par email : avec prudence et vérification. Si un QR code vous semble suspect, ne le scannez pas. Si l'URL affichée vous paraît étrange, ne cliquez pas. Ces deux refus suffisent à neutraliser la quasi-totalité des attaques, car elles reposent toutes sur la précipitation de l'utilisateur.

La prochaine fois que vous scannerez un QR code, prenez ces trois secondes pour regarder l'URL qui s'affiche. C'est le geste le plus simple, et le plus efficace, pour ne pas transformer un geste pratique en porte d'entrée vers une arnaque.