Pourquoi un QR code peut-il cacher une arnaque ?
Un QR code ne montre jamais l'adresse vers laquelle il pointe avant qu'on l'ait déjà scanné.
Cet article fait partie du dossier Comprendre et sécuriser son quotidien numérique.
Publié le · Rédaction Pourquoi Comment · environ 6 min de lecture
La réponse en bref
Un QR code peut cacher une arnaque parce qu'il ne montre jamais, avant de le scanner, l'adresse du site vers laquelle il redirige. Cette technique, appelée quishing, consiste à remplacer un QR code légitime par un faux, par exemple collé sur un horodateur de stationnement ou imprimé sur un faux avis de colis, pour rediriger la victime vers un site qui imite l'officiel et lui réclame ses coordonnées bancaires.
Qu'est-ce que le quishing, exactement ?
Le glossaire officiel CyberDico de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) définit le terme comme une « contraction de QR et phishing » : une manœuvre où un attaquant redirige sa victime vers une ressource malveillante, un site d'hameçonnage ou un logiciel malveillant, dès qu'elle scanne le code concerné. Le dispositif public cybermalveillance.gouv.fr précise que cette menace a émergé en 2023 et que, à ce jour, « la menace des QR codes malveillants reste encore relativement mineure » : un point à garder en tête pour ne pas présenter ce risque comme une épidémie généralisée.
À quoi ressemble concrètement ce type d'arnaque ?
Cybermalveillance.gouv.fr cite plusieurs scénarios réellement observés : de faux avis de contravention déposés sur un pare-brise ou envoyés au domicile, de faux avis de passage postal, des QR codes contrefaits collés directement sur des horodateurs de stationnement, de faux codes sur des bornes de recharge de véhicules électriques, ou encore de faux codes de confirmation de connexion imitant un service professionnel comme Office 365, pour détourner un compte parfois protégé par un mot de passe pourtant long et complexe.
| Support ou contexte | Scénario observé |
|---|---|
| Pare-brise ou domicile | faux avis de contravention |
| Courrier ou boîte aux lettres | faux avis de passage postal |
| Horodateur de stationnement | QR code contrefait collé sur un vrai horodateur (cas réel à Apt, Vaucluse) |
| Borne de recharge de véhicule électrique | faux code collé sur la borne |
| Service professionnel (ex. Office 365) | faux code de confirmation de connexion |
D'après les scénarios cités par cybermalveillance.gouv.fr et le cas rapporté par France 3 Provence-Alpes-Côte d'Azur.
Un cas réel rapporté par France 3 Provence-Alpes-Côte d'Azur illustre précisément ce mécanisme : à Apt, dans le Vaucluse, des QR codes contrefaits ont été collés sur de vraies bornes de stationnement, menant vers un faux site qui imitait l'Agence nationale de traitement automatisé des infractions (Antai) sur un nom de domaine frauduleux proche de l'officiel. Le faux site réclamait le paiement d'une amende, 135 euros ou 35 euros en cas de paiement rapide, en demandant le numéro de carte bancaire. La gendarmerie du Vaucluse a dû alerter le public et plusieurs plaintes ont été déposées. Le vrai site de l'Antai reste accessible à l'adresse antai.gouv.fr, utile comme repère pour comparer en cas de doute.
Quels signaux doivent alerter avant de scanner ?
Quels réflexes avoir en cas de doute ou après avoir scanné ?
Le réflexe le plus sûr reste de ne jamais scanner un QR code dont la provenance paraît douteuse, et de vérifier directement une situation (stationnement, colis, compte en ligne) depuis le site officiel du service concerné, tapé soi-même dans le navigateur plutôt que suivi depuis un lien. En cas de doute après avoir déjà scanné et transmis des informations bancaires, les mêmes réflexes que pour un SMS frauduleux de livraison s'appliquent : faire opposition auprès de sa banque sans attendre, puis signaler la fraude.
Questions fréquentes
Les applications de scan de QR code peuvent-elles détecter un piège ?
Certaines applications affichent l'adresse complète avant de l'ouvrir, ce qui aide à repérer une incohérence : les sources consultées pour cet article ne permettent cependant pas de garantir qu'une application de scan détecte systématiquement un site frauduleux.
Un QR code présent depuis longtemps sur un support officiel est-il toujours sûr ?
Pas nécessairement : les cas documentés par cybermalveillance.gouv.fr et par France 3 montrent des QR codes frauduleux collés par-dessus un support par ailleurs légitime, comme un horodateur. L'ancienneté du support n'est pas une garantie sur l'authenticité du code lui-même.