Quishing : comment un QR code piège les gens (et les réflexes qui protègent)

Il y a un truc que je trouve fascinant avec les QR codes, et un peu terrifiant aussi.

Vous ne pouvez pas les lire.

Un lien classique, vous le voyez. banque-securite-verification.xyz, ça vous met la puce à l'oreille avant même de cliquer. Un QR code, lui, c'est un carré. Un motif abstrait. Vous n'avez strictement aucun moyen de savoir où il vous emmène avant de l'avoir scanné.

C'est exactement là-dessus que reposent les arnaques au QR code. On appelle ça le quishing — contraction de QR et phishing. Et ça a explosé ces dernières années, pour une raison assez simple : ça coûte moins cher qu'un timbre.

L'arnaque du parcmètre, ou la beauté de la simplicité

C'est le cas d'école, et il est brillant de bêtise.

Un escroc imprime des autocollants avec son propre QR code. Il les colle sur des parcmètres, dans une rue passante. Par-dessus le vrai code, ou juste à côté, avec écrit « paiement mobile » en petits caractères.

Vous arrivez, pressé. Vous n'avez pas de monnaie. Vous voyez le code. Vous scannez. Une page s'ouvre, elle ressemble à celle de la ville, elle vous demande votre carte bancaire pour payer votre heure de stationnement.

Vous payez deux euros trente. L'escroc, lui, a maintenant votre numéro de carte complet.

Ce qui rend cette arnaque si efficace, ce n'est pas la technique — il n'y en a aucune. C'est le contexte. Vous êtes pressé, vous êtes dans un endroit officiel, il y a une raison légitime d'avoir un QR code là. Votre vigilance est au plus bas précisément parce que la situation semble normale.

Les mêmes autocollants apparaissent sur les bornes de recharge électrique, sur les vitrines de restaurants, sur les affiches de concerts, dans les halls d'immeubles. Partout où un QR code n'étonne personne.

L'autre grand classique : le QR dans un mail

Celui-là est plus vicieux, parce qu'il exploite une faille de raisonnement.

Vous recevez un mail de « votre service informatique » : votre mot de passe expire, scannez ce code pour le renouveler. Ou de « votre banque » : validez cette opération en scannant.

Pourquoi un QR code plutôt qu'un lien ? Parce que les filtres antispam analysent les liens. Ils regardent l'adresse, la comparent à des listes de sites malveillants, bloquent ce qui est douteux.

Une image, ils ne la lisent pas. Le QR code passe donc à travers les mailles, atterrit dans votre boîte, et fait sortir l'attaque de l'ordinateur surveillé par l'entreprise vers votre téléphone personnel, qui n'a aucune protection.

C'est malin. Vraiment.

Ce qu'ils cherchent réellement

Trois choses, dans l'ordre de fréquence.

Vos identifiants. Le code mène à une copie parfaite d'une page de connexion — banque, messagerie, réseau social, espace entreprise. Vous tapez votre mot de passe, il part directement chez eux.

Votre carte bancaire. Un faux paiement, une fausse amende, un faux abonnement. Le montant est toujours petit — deux euros, cinq euros. Un montant qu'on paie sans réfléchir. Ce n'est pas la somme qui les intéresse, c'est le numéro.

L'installation d'une application. Plus rare, mais plus grave. Le code propose de télécharger une application en dehors des magasins officiels. Une fois installée, elle peut lire vos SMS — dont ceux qui contiennent vos codes de validation bancaire.

Les quatre réflexes qui suffisent

Bonne nouvelle : se protéger ne demande aucune compétence technique. Juste quelques secondes d'attention aux bons moments.

Un : lisez l'adresse avant d'ouvrir. Tous les téléphones récents affichent le lien en aperçu avant d'ouvrir la page. Prenez le temps de le regarder. Vraiment le regarder. Les escrocs jouent sur des détails minuscules : carrefour-fidelite.com au lieu de carrefour.fr, un tiret en trop, un .co au lieu du .fr. Si l'adresse ne correspond pas exactement à l'organisation attendue, arrêtez-vous là.

Deux : passez le doigt sur le code. Ça a l'air ridicule, mais c'est redoutablement efficace contre les autocollants frauduleux. Vous sentez un relief, un bord qui se décolle, une surépaisseur ? Quelqu'un a collé quelque chose par-dessus. Sur un parcmètre ou une borne de recharge, ce geste prend deux secondes et règle le problème le plus courant.

Trois : ne saisissez jamais vos identifiants sur une page ouverte par un QR code. C'est ma règle absolue, et je vous invite à l'adopter telle quelle. Si un code vous mène vers une page de connexion, fermez. Ouvrez vous-même l'application officielle ou tapez l'adresse à la main. Aucune organisation sérieuse n'exige que vous vous connectiez précisément via un code scanné dans la rue.

Quatre : méfiez-vous de l'urgence. « Votre compte sera suspendu », « il vous reste deux heures », « dernière chance ». L'urgence est l'outil numéro un de l'escroquerie, parce qu'elle vous empêche de faire les trois vérifications précédentes. Une organisation légitime vous laisse le temps de réfléchir. Toujours.

Ce que les entreprises devraient faire (et ne font pas)

Si vous utilisez des QR codes dans votre communication, vous avez une part de responsabilité, et deux mesures simples changent beaucoup.

Vérifiez vos codes physiques régulièrement. Si vous avez des QR codes sur votre vitrine, vos tables, vos affiches, passez-les en revue de temps en temps. Un autocollant frauduleux collé sur votre menu, ce sont vos clients qui se font arnaquer — et c'est votre nom qu'ils associeront à la mésaventure.

Dites toujours où le code mène. Écrivez l'adresse en clair à côté du code : « scannez ou tapez votre-restaurant.fr/carte ». Ça permet à vos clients de vérifier, et ça vous protège : un escroc qui colle son code par-dessus le vôtre laisse une incohérence visible.

Et pour les mails internes : décidez une fois pour toutes que votre entreprise n'envoie jamais de QR code par mail pour une connexion. Une règle absolue est infiniment plus facile à retenir qu'une liste d'exceptions.

Vous avez déjà scanné et saisi quelque chose ? Voici l'ordre des gestes

Ça arrive. À des gens très bien, très prudents, un jour de fatigue. La culpabilité ne sert à rien — la rapidité, si.

Si vous avez tapé un mot de passe. Changez-le immédiatement, en passant par l'application officielle ou en tapant l'adresse vous-même — surtout pas en revenant sur la page suspecte. Et changez-le aussi partout où vous utilisiez le même. C'est le moment inconfortable où l'on réalise combien de comptes partagent le même mot de passe. Activez ensuite la validation en deux étapes sur les comptes concernés : même avec votre mot de passe, l'escroc reste bloqué.

Si vous avez saisi une carte bancaire. Appelez votre banque, ou faites opposition depuis son application — la plupart permettent de bloquer une carte en deux touches, à toute heure. Ne comptez pas sur le fait que le montant était minuscule : ce sont vos coordonnées qui valent quelque chose, pas les deux euros trente.

Si vous avez installé une application. Désinstallez-la, puis passez le téléphone en revue : autorisations accordées, applications inconnues, accès aux SMS. En cas de doute sérieux, une réinitialisation d'usine reste la solution la plus sûre. Pénible, mais nette.

Dans tous les cas, signalez. En France, vous pouvez déposer plainte et signaler sur la plateforme officielle de signalement des contenus illicites. Et prévenez le commerce ou la collectivité dont l'image a été usurpée : c'est souvent comme ça qu'un autocollant frauduleux est retiré avant qu'il ne piège quelqu'un d'autre.

Surveillez enfin vos relevés bancaires les semaines suivantes. Les escrocs testent parfois une carte avec un tout petit débit avant de passer aux montants sérieux.

Le mot qu'on me demande toujours

« Un QR code peut-il pirater mon téléphone directement, juste en le scannant ? »

Non. Pas dans la pratique.

Un QR code ne contient que du texte — une adresse, un contact, un réseau WiFi. Il n'exécute pas de programme. Le danger n'est jamais dans le code lui-même : il est dans ce que vous faites ensuite. Ouvrir un lien, taper un mot de passe, installer une application, saisir une carte.

Ce qui est plutôt rassurant, quand on y pense. Ça veut dire que le point de décision reste toujours de votre côté. Personne ne peut vous voler quoi que ce soit sans que vous ayez, quelque part, tapé ou validé quelque chose.

Votre vigilance est le dernier verrou. Et c'est un bon verrou.

Et pour ceux qui créent des QR codes

Une précision qui compte, puisqu'on parle de confiance.

Quand vous générez un QR code sur VixQR, tout se passe dans votre navigateur. Le contenu que vous encodez — une adresse, un mot de passe WiFi, vos coordonnées — n'est jamais envoyé sur nos serveurs. Nous ne les voyons pas, nous ne les stockons pas.

Et nos codes sont statiques : ils pointent directement vers votre adresse, sans redirection par un serveur intermédiaire. Ce qui veut dire, entre autres, que personne — nous compris — ne peut en changer la destination après coup.

C'est une différence qui paraît technique. Elle ne l'est pas tant que ça : un code dynamique dont le prestataire disparaît, se fait racheter, ou se fait pirater, c'est une redirection dont vous perdez le contrôle.

Le vôtre, personne ne peut le détourner. Sauf en collant un autocollant par-dessus — d'où le geste du doigt.