Arnaque au code QR : reconnaître les faux codes et les scanner en toute sécurité

Les codes QR sont partout : menus de restaurant, parcomètres, affiches, factures et avis de livraison. C’est justement cette commodité qui fait fonctionner une arnaque au code QR. Un code QR n’est qu’un lien illisible à l’œil nu : un fraudeur peut donc remplacer un vrai code par un autre qui mène à une fausse page de paiement ou de connexion, et vous ne le remarquerez qu’une fois trop tard. Ce guide présente les pièges les plus courants, la façon de vérifier où mène un code avant de l’ouvrir, et quoi faire si vous en avez déjà scanné un et saisi vos données.

Ce guide est indépendant et n’est affilié à aucune banque, ville, entreprise de stationnement ni à aucun fabricant de téléphones.

Comment fonctionnent les arnaques au code QR

L’arnaque est la même qu’un lien d’hameçonnage ordinaire, simplement cachée. Les spécialistes l’appellent quishing (QR + phishing, l’hameçonnage en anglais). Le code vous mène à un site qui ressemble au vrai, comme une page de paiement de stationnement, la connexion de votre banque, un service de livraison ou votre fournisseur de courriel, et vous demande un numéro de carte, un mot de passe ou un code à usage unique. Certaines fausses pages vous poussent aussi à télécharger une application ou un fichier.

La Federal Trade Commission (FTC) des États-Unis a averti que les fraudeurs cachent des liens malveillants dans des codes QR et qu’ils créent souvent un sentiment d’urgence, par exemple une livraison manquée ou un problème avec votre compte, pour que vous scanniez avant de réfléchir.

Les pièges au code QR les plus courants

Faux autocollants sur les parcomètres et les bornes de paiement

Les fraudeurs impriment leurs propres codes QR et les collent par-dessus les vrais sur les parcomètres, les bornes de paiement, les panneaux et même les bornes de recharge pour voitures électriques. Vous scannez, voyez une page qui ressemble à un site de paiement de stationnement et entrez les données de votre carte, qui partent directement chez le fraudeur. Signes d’alerte :

• Un autocollant posé sur un autre code, aux bords décollés ou qui semble fraîchement ajouté.
• Une adresse web qui ne correspond pas à la ville ou à l’exploitant du stationnement indiqué sur l’affiche.
• Une page qui en demande plus que nécessaire, comme votre date de naissance complète ou le mot de passe de vos services bancaires en ligne.

Le plus sûr est de payer à la borne, ou d’utiliser l’application de stationnement déjà installée depuis l’App Store ou Google Play.

Codes QR dans les courriels et les textos

Certains courriels d’hameçonnage ne contiennent aucun lien cliquable, seulement un code QR. Cela les aide à passer les filtres et vous fait passer d’un ordinateur de travail protégé à votre téléphone. Les messages typiques annoncent que votre mot de passe va expirer, qu’un document vous attend ou que vous devez « revalider » votre compte. Une vraie entreprise vous demande rarement de scanner un code pour vous connecter. Découvrez les autres signes dans le guide (en anglais) pour reconnaître un courriel d’hameçonnage.

Codes dans les lettres, dépliants et colis

Méfiez-vous du courrier papier qui ressemble à une contravention de stationnement, à un péage impayé, à une facture de services publics ou à un « dernier avis » avec un code QR pour payer. Même prudence avec un colis inattendu que vous n’avez pas commandé et qui contient une carte avec un code QR. Si vous doutez d’une lettre, cherchez vous-même les coordonnées de l’organisme au lieu d’utiliser le code ou un numéro imprimé sur la lettre.

Codes dans les commerces et les publicités en ligne

De faux codes QR peuvent aussi mener à des boutiques en ligne qui vendent des produits qui n’arrivent jamais. Avant d’acheter sur un site atteint par un code, vérifiez-le avec le guide (en anglais) pour magasiner en ligne en sécurité et repérer les fausses boutiques.

Comment scanner un code QR sans risque

1. Utilisez l’appareil photo intégré. Sur un iPhone ou un iPad, ouvrez l’app Appareil photo et visez le code; un lien s’affiche à l’écran. Sur la plupart des téléphones Android, l’app Appareil photo ou Google Lens fait la même chose (sur certains Samsung, il faut peut-être activer la lecture des codes QR dans les paramètres de l’appareil photo). Pas besoin d’une application de lecture distincte.
2. Lisez l’adresse avant de toucher. L’aperçu montre le site web. Regardez le domaine principal, c’est-à-dire la partie juste avant la première barre oblique simple, comme « exemple.com » dans « paiement.exemple.com/stationnement ».
3. Repérez les signaux d’alerte : fautes d’orthographe (paypa1, amaz0n), mots en trop (paiement-stationnement-ville-securise.site), terminaisons inhabituelles ou raccourcisseur de lien qui cache la vraie destination.
4. Rappelez-vous que le cadenas ou le « https » ne prouvent rien. Les sites frauduleux utilisent aussi des connexions sécurisées.
5. Ne saisissez ni données de paiement ni identifiants sur une page atteinte par un code inattendu. Fermez-la et allez vous-même sur le site ou dans l’application de l’entreprise.
6. N’installez jamais une application ou un profil parce qu’un code QR vous l’a demandé. Téléchargez les applications uniquement depuis l’App Store ou Google Play.

Que faire si vous avez déjà scanné et donné vos données

Agissez vite : plus vous réagissez tôt, moins le fraudeur peut faire de dégâts.

Si vous avez saisi des données de carte ou de banque

1. Contactez votre banque ou l’émetteur de votre carte au numéro inscrit au dos de la carte ou par son application officielle. Expliquez ce qui s’est passé et demandez le blocage de la carte et la contestation des transactions.
2. Vérifiez vos transactions récentes et continuez de surveiller vos relevés au cours des semaines suivantes.

Si vous avez saisi un mot de passe

1. Changez-le immédiatement, ainsi que partout où vous utilisiez le même. Un gestionnaire de mots de passe (guide en anglais) facilite l’usage de mots de passe uniques.
2. Activez l’authentification à deux facteurs sur ce compte; le guide pour activer l’authentification à deux facteurs explique comment.
3. Si vous pensez que quelqu’un est déjà entré, suivez le guide (en anglais) pour récupérer et sécuriser un compte piraté.

Si vous avez téléchargé une application ou un fichier

Supprimez-le, lancez une analyse de sécurité et gardez votre téléphone à jour. Si le téléphone se comporte bizarrement, consultez le site d’assistance du fabricant ou un atelier de réparation local.

Signalez-le

• Canada : signalez la fraude au Centre antifraude du Canada par son site web, ainsi qu’à votre police locale.
• États-Unis : signalez-la à la Federal Trade Commission sur reportfraud.ftc.gov.
• Europe : adressez-vous à la police ou au service national de signalement de votre pays, par exemple cybermalveillance.gouv.fr en France.

Si le code se trouvait sur un parcomètre ou un panneau municipal, prévenez aussi la ville ou l’exploitant du stationnement pour qu’il soit retiré. Signaler aide à empêcher le même faux code de piéger d’autres personnes. Restez prudent ensuite : les fraudeurs reprennent parfois contact en se faisant passer pour votre banque ou pour un « service de récupération » qui promet de récupérer votre argent contre paiement. Les vraies banques et les organismes publics ne vous demanderont jamais cela. Si cela vous est arrivé, voyez que faire après une arnaque au soutien technique.

Aide-mémoire

Situation	Bon réflexe
Autocollant avec code QR sur un parcomètre	Payez à la borne ou dans l’application de stationnement que vous avez déjà
Code QR dans un courriel ou un texto inattendu	Ne le scannez pas; allez vous-même sur le site de l’entreprise
Lettre ou facture avec un code QR pour payer	Vérifiez auprès de l’organisme avec des coordonnées que vous trouvez vous-même
Code du menu d’un restaurant	En général sans danger; ne donnez pas de données de carte sauf si la page vous inspire confiance
Vous avez déjà donné vos données	D’abord la banque, puis les mots de passe, puis le signalement