Sécurité des QR codes : comment scanner sans se faire arnaquer
Les QR codes sont passés d’un outil d’inventaire à quelque chose que l’on scanne une dizaine de fois par semaine : menus, horodateurs, flyers, étiquettes de colis, jusqu’aux publicités télé. Cette commodité explique pourquoi les escrocs impriment désormais les leurs. Un QR code ne se lit pas à l’œil comme une adresse web : vous faites confiance à l’appareil photo de votre téléphone pour vous emmener quelque part de sûr, sans l’avoir vu.
Pourquoi les QR codes sont une cible facile
Un lien comme paypaI-secure-login.com peut éveiller des soupçons si on le lit attentivement. Un QR code cache tout cela : on ne voit qu’un carré noir et blanc jusqu’à ce que l’appareil ait déjà ouvert le lien. Les attaquants exploitent cette confiance aveugle de plusieurs façons :
- Autocollants superposés : un faux QR code collé sur un vrai, sur un horodateur, une table de restaurant ou une affiche, qui vous redirige vers une fausse page de paiement ou de connexion.
- E-mails de « quishing » : des courriels de phishing contenant un QR code plutôt qu’un lien cliquable, en pariant que les filtres (et votre instinct) surveillent les liens texte, pas les images.
- Faux avis : un papier glissé sur un pare-brise ou une porte demandant de « scanner pour payer une amende » ou « reprogrammer votre livraison ».
Comment scanner en sécurité
- Prévisualisez l’URL avant de l’ouvrir. La plupart des appareils affichent un aperçu du lien ; lisez le nom de domaine avant de toucher. S’il ne correspond pas à l’entreprise attendue, ou s’il s’agit d’un lien raccourci sans contexte, ne l’ouvrez pas.
- Vérifiez les signes de manipulation sur les codes physiques. Un autocollant légèrement décalé ou qui déborde sur une impression est un signal d’alerte. En cas de doute, allez directement sur le site de l’entreprise.
- Ne saisissez ni mot de passe ni données de paiement juste après un scan si vous n’êtes pas certain de la destination.
- Méfiez-vous des QR codes reçus par e-mail ou SMS, surtout s’ils créent de l’urgence (« colis bloqué », « vérifiez votre compte maintenant »).
- Gardez le système de votre téléphone à jour, car certaines attaques visent des logiciels obsolètes.
Le problème n’est pas le code, c’est la confiance aveugle
Le code n’est qu’un conteneur pour un lien ; il ne sait pas si le lien est sûr. Les mêmes règles que pour tout lien inconnu s’appliquent, une étape plus tôt.
Si vous devez créer un QR code, le générer dans votre navigateur est plus sûr et plus transparent qu’un générateur en ligne qui peut consigner ce que vous créez. Notre générateur de QR code fonctionne entièrement côté client, et notre lecteur de QR code vous montre la destination brute avant de scanner avec le téléphone.