Les codes QR sont partout : sur les tables des restaurants, les horodateurs, les avis de livraison et même dans les e-mails professionnels. La plupart des utilisateurs les scannent sans hésiter. Pourtant, c’est précisément sur cette facilité que misent les cybercriminels.
Le « quishing » est un type de cyberattaque en plein essor qui utilise les codes QR pour inciter des victimes peu méfiantes à divulguer leurs mots de passe, leurs informations de paiement ou leurs données personnelles. Voyons de plus près à quoi ressemblent les attaques de quishing et comment vous pouvez vous en protéger.
Qu’est-ce que le quishing ?
Le quishing (hameçonnage par code QR) est un type d’attaque par hameçonnage qui consiste à utiliser des codes QR pour rediriger les victimes vers de faux sites ou les inciter à télécharger des logiciels malveillants. On parle également d’hameçonnage par code QR, de « QR phishing » ou simplement d’arnaques au code QR.
Un code QR (Quick Response) est un code-barres bidimensionnel qui peut être scanné avec l’appareil photo d’un téléphone. Il peut contenir des URL et des liens directs vers des instructions de paiement, des coordonnées, des identifiants Wi-Fi, etc. Très pratique : il suffit de pointer son téléphone vers le code, de le scanner et le tour est joué. Pourtant, c’est précisément cette simplicité qui rend les fraudes par code QR si dangereuses.
Contrairement à un lien classique, un code QR ne révèle pas sa destination. La confiance associée aux codes QR et l’absence d’URL visible avant de les scanner sont précisément ce dont les cybercriminels profitent lors des attaques de quishing : vous ne voyez pas où vous allez avant d’y être arrivé.
Que recherchent réellement ces cybercriminels ? Environ90 % des cas d’hameçonnage par code QR¹ visent à voler des informations sensibles, telles que des identifiants de connexion, des numéros de carte bancaire, des données d’accès aux comptes bancaires et des données personnelles pouvant servir à usurper une identité. Certaines attaques visent également à installer des logiciels malveillants pour commettre des fraudes de manière répétée.
Voici un exemple concret d’arnaque par code QR : vous voyez un code QR sur un panneau de stationnement, vous le scannez pour payer et vous arrivez sur une page d’apparence réaliste qui vous demande les informations de votre carte. Cependant, cette page est fausse, et votre argent comme vos données bancaires finissent entre les mains de fraudeurs
Comment fonctionne une attaque d’hameçonnage par code QR ?
Comprendre le fonctionnement des attaques de quishing vous permet de les repérer avant qu’elles ne causent des dommages. Une attaque de quishing typique suit plusieurs étapes bien définies :
- Création d’un piège : le pirate enregistre un nom de domaine frauduleux imitant une marque de confiance, telle qu’une banque, un service de livraison ou le portail de connexion d’une société, puis crée un site d’hameçonnage convaincant.
- Génération du code : le fraudeur crée un code QR personnalisé qui redirige vers ce site malveillant. Parfois, le lien passe par des raccourcisseurs d’URL ou des services de redirection légitimes afin de masquer la destination finale.
- Diffusion du code QR frauduleux : le cybercriminel ajoute le code QR malveillant à des e-mails, des prospectus, des publications sur les réseaux sociaux, des pièces jointes au format PDF, ou colle des autocollants physiques par-dessus des codes QR légitimes dans les lieux publics.
- Persuader la victime : le message accompagnant le code joue sur le côté pratique ou recourt à la manipulation émotionnelle (urgence, crainte ou offres attrayantes) pour inciter les victimes à scanner le code immédiatement.
- Recueil de données ou diffusion de logiciels malveillants : une fois que la victime ouvre le site d’hameçonnage, celui-ci lui demande ses identifiants de connexion ou ses informations de paiement. Si vous fournissez les informations demandées, cela peut malheureusement mener au vol de vos identifiants ou à une fraude financière. Si le site d’hameçonnage déclenche le téléchargement d’un fichier, vous risquez d’installer accidentellement un logiciel malveillant sur votre appareil.
« Même les utilisateurs soucieux de leur vie privée qui vérifient systématiquement les en-têtes d’e-mails et les liens dans les SMS restent totalement vulnérables, car l’hameçonnage par code QR exploite la confiance liée à l’emplacement physique des codes QR. On s’attend tout à fait à trouver des codes QR sur les horodateurs, les bornes de recharge pour véhicules électriques, les distributeurs automatiques et les distributeurs de billets. Les scanner est tout simplement bien plus pratique que de taper une URL de 50 caractères.
Le problème vient du fait que les cybercriminels adorent tout ce qui permet de masquer ou de simplifier un processus existant. Coller physiquement des autocollants en vinyle frauduleux sur des autocollants légitimes est un excellent moyen, incroyablement peu coûteux, de contourner complètement votre esprit critique et vos filtres anti-spam numériques. »
Miguel Fornes, responsable de la sécurité de l’information chez Surfshark
Pourquoi les codes QR échappent-ils aux systèmes de sécurité des e-mails ?
Les attaques par code QR contournent souvent les filtres de sécurité traditionnels des e-mails, car l’URL est intégrée dans une image plutôt que dans un texte cliquable. La plupart des solutions de sécurité des e-mails recherchent les liens textuels suspects et les domaines malveillants connus, mais ne décodent pas par défaut les codes QR contenus dans des images ou des pièces jointes au format PDF.
Entre juin et septembre 2024, Barracuda Networks a identifié plus d’un demi-million d’e-mails d’hameçonnage contenant des codes QR dissimulés dans des fichiers PDF. Parmi les marques usurpées lors de ces attaques, Microsoft représente 51 % et Docusign 31 %².
Fraudes par code QR courantes et éléments auxquels prêter attention
L’hameçonnage par code QR prend de nombreuses formes, mais les techniques de piratage psychologique reviennent sans cesse : l’urgence, la crainte et la simplicité. Voyons comment les cybercriminels utilisent les codes QR dans leurs stratégies, tant sur les canaux numériques (e-mails, SMS, réseaux sociaux) que dans les lieux physiques (horodateurs, tables de restaurant, avis de livraison).
Codes QR frauduleux de paiement ou de stationnement
Les fraudeurs utilisent de faux codes QR de stationnement pour voler des informations de paiement. La méthode est simple : les cybercriminels impriment des autocollants sur lesquels figurent de faux codes QR et les collent par-dessus les codes QR légitimes présents sur les bornes de paiement ou les panneaux de stationnement dans les zones très fréquentées.
Par exemple, des autocollants de codes QR frauduleux ont été découverts sur plus d’une vingtaine de bornes de paiement de stationnement à Austin, au Texas, et des fraudes similaires liées au paiement du stationnement ont été signalées à San Antonio³. Au Royaume-Uni, la CFEU (Counter Fraud and Enforcement Unit) avertit que des personnes malintentionnées placent des codes QR contrefaits sur des panneaux et des bornes de stationnement, imitant des plateformes de paiement légitimes telles que PayByPhone, dans le but de voler des coordonnées bancaires et de commettre des usurpations d’identité⁴.
L’IC3 (Internet Crime Complaint Center) du FBI a également constaté une augmentation du nombre de fraudeurs utilisant des codes QR pour diriger leurs victimes vers des distributeurs automatiques de cryptomonnaies physiques leur permettant d’effectuer rapidement des paiements dans le cadre d’arnaques sentimentales, à la loterie, ou d’usurpations d’identité⁵.
Voici les conseils de notre responsable de la sécurité de l’information, Miguel Fornes :
Éléments suspects dont il faut se méfier :
- Passez votre ongle sur le pourtour du code QR. Les codes authentiques sont imprimés directement sur le boîtier en métal ou en plastique. Si vous sentez un bord marqué ou en relief, annulez la transaction.
- L’autocollant est-il placé à un endroit peu pratique, non ergonomique ou décentré ? Les sociétés légitimes conçoivent leurs interfaces physiques de manière à ce qu’elles soient centrées et intuitives.
- Un autocollant avec un code QR impeccable, d’un blanc éclatant et fraîchement imprimé, collé sur un parcmètre ancien, couvert de rayures, décoloré par le soleil et usé, doit vous mettre la puce à l’oreille.
- Si vous scannez un code et que vous remarquez que l’adresse affichée vous redirige rapidement vers différents domaines ou des raccourcisseurs d’URL (comme bit.ly) avant d’aboutir à la page de paiement finale, fermez immédiatement le navigateur.
Faux avis de livraison et de report de livraison
Les avis de livraison utilisent souvent des codes QR pour rediriger vers des sites d’hameçonnage. Ceux-ci se présentent sous forme d’avis de passage laissés sur votre porte, de prospectus ou d’e-mails indiquant une « livraison manquée » de la part d’un transporteur connu. Scanner ce code QR mène à un portail frauduleux exigeant des frais minimes pour renouveler la livraison, ainsi que toutes les informations de votre carte bancaire.
Le FBI met également en garde contre le fait que des criminels envoient désormais des colis non sollicités sans informations sur l’expéditeur (une variante de l’arnaque au « brushing ») contenant des codes QR incitant les destinataires à communiquer leurs données personnelles et financières ou à télécharger des logiciels malveillants à leur insu⁶.
Éléments suspects dont il faut se méfier :
- urgence à agir pour éviter que le colis ne soit renvoyé ;
- des numéros de suivi vagues ;
- des noms de transporteurs génériques.
Si vous recevez ce genre d’avis, accédez directement à l’application ou au site officiel du transporteur plutôt que de scanner le code QR joint.
Fausses factures et e-mails frauduleux relatifs aux fiches de paie
Dans un cadre professionnel, des e-mails frauduleux peuvent être reçus, souvent accompagnés de fausses factures, de mises à jour relatives au salaire ou de confirmations de paiement de fournisseurs comprenant un code QR « pour consulter le document sécurisé ». Ces codes redirigent vers de fausses pages de connexion Microsoft ou Google conçues pour récupérer les identifiants. Le lien étant dissimulé dans l’image, ces e-mails parviennent à contourner de nombreux filtres de sécurité.
Éléments suspects dont il faut se méfier :
- domaines d’expéditeur incorrects ou imitant un domaine connu ;
- urgence excessive et incitation à agir rapidement ;
- changements inattendus concernant des données financières ou de paie, sans communication ni autorisation préalable.
Codes QR de menus de restaurant falsifiés
De faux codes QR peuvent remplacer les codes légitimes des menus de restaurant. Les pirates collent discrètement des autocollants sur les codes authentiques sur les tables ou les affiches. Après les avoir scannés, vous pourriez être redirigé vers un site de menu frauduleux.
Éléments suspects dont il faut se méfier :
- connexion par le biais de réseaux sociaux ;
- demandes des informations de carte bancaire pour réserver une table ;
- invitations à installer une application.
Si le code QR d’un menu de restaurant vous demande des informations personnelles, des identifiants de connexion ou des données de paiement, fermez immédiatement la page.
Fausses demandes de vérification de compte et de réinitialisation de mot de passe
Des codes QR peuvent être utilisés dans le cadre de fausses alertes de sécurité liées à votre compte dans le but de voler des données. Ces e-mails ou courriers d’hameçonnage prétendent que votre compte va être suspendu ou que des activités suspectes ont été détectées, puis vous invitent à « vérifier votre compte en scannant ce code QR », ce qui ouvre une page de connexion falsifiée.
Les prestataires légitimes exigent rarement l’utilisation de codes QR pour résoudre des problèmes liés à un compte. Accédez directement au site officiel ou à l’application en saisissant une URL connue et fiable.
Éléments suspects dont il faut se méfier :
- incohérences entre l’adresse du site et le domaine de l’expéditeur ;
- urgence anormale, incitant à scanner et à vérifier immédiatement ;
- demandes inhabituelles d’autorisation ou de connexion.
Qui sont les principales cibles du hameçonnage par code QR ?
Les arnaques par quishing peuvent toucher toute personne qui scanne des codes QR, mais certains groupes courent un risque plus élevé d’en être victimes :
- Les consommateurs lambda qui utilisent des codes QR pour effectuer des paiements, consulter des menus, acheter des billets pour des événements et accéder au Wi-Fi public font souvent confiance à ces outils pratiques pour les tâches du quotidien, ce qui les rend moins susceptibles de remettre en question les codes qu’ils scannent.
- Les employés de bureau et les télétravailleurs qui reçoivent des e-mails d’hameçonnage par code QR déguisés en notifications provenant des services informatiques, des ressources humaines ou de la direction financière (selon Abnormal Security, les cadres supérieurs étaient 42 fois plus susceptibles de recevoir des attaques par code QR que les autres employés au cours du premier semestre 2024⁷).
- Les petites et moyennes entreprises qui utilisent des codes QR pour leur marketing et leur facturation, mais dont les formations de sensibilisation à la cybersécurité restent souvent insuffisantes.
- Les secteurs stratégiques tels que la finance, la santé et les administrations publiques, où une faille de sécurité peut exposer des données financières, des dossiers médicaux ou des informations confidentielles.
- Les utilisateurs férus de technologie ne sont pas à l’abri non plus : l’hameçonnage par code QR exploite la confiance accordée à ces codes dans les situations du quotidien et leur côté pratique, et non un manque de connaissances techniques.
Comment repérer une arnaque au code QR ?
Pour repérer une attaque par code QR, il faut prêter attention à plusieurs indices : des formulations incitant à agir dans l’urgence, un expéditeur inconnu, un nom de domaine suspect et ce qui se passe immédiatement après avoir scanné le code.
Codes QR suspects ou inattendus
Méfiez-vous des codes QR qui vous parviennent de manière inattendue par e-mail, sur des applications de messagerie, sur des prospectus laissés sur votre pare-brise ou dans votre boîte aux lettres. Parmi les indicateurs d’un hameçonnage par code QR, on trouve notamment les messages qui vous incitent à scanner le code immédiatement. Les organisations légitimes envoient rarement des codes QR comme seul moyen de résoudre un problème ou d’accéder à leurs services.
Évitez de scanner les codes QR provenant d’un expéditeur inconnu et, en cas de doute, contactez l’expéditeur présumé par le biais d’un canal officiel.
Signes d’altération physique ou d’anomalie
Les attaques peuvent impliquer une altération physique, les acteurs malveillants plaçant de faux autocollants par-dessus des codes QR légitimes. Avant de scanner un code QR figurant sur un panneau public ou sur une table, prêtez attention aux éléments suivants :
- des autocollants recouvrant des codes QR existants ou dont les bords se décollent ;
- des polices, des couleurs ou des éléments d’identité visuelle qui ne correspondent pas à ceux de la signalétique environnante ;
- des codes placés sur des surfaces inhabituelles, comme des lampadaires ou les parois d’un ascenseur.
Vérifiez qu’un code QR n’a pas été altéré avant de le scanner : les lieux officiels présentent généralement une identité visuelle cohérente et des instructions claires à côté des codes QR légitimes.
URL suspectes, liens raccourcis ou demandes d’autorisation
Après avoir scanné le code, vérifiez toujours l’aperçu de l’URL affiché par votre téléphone avant d’appuyer sur ouvrir. Méfiez-vous des codes QR contenus dans des messages visant à créer un sentiment d’urgence ou présentant :
- des fautes d’orthographe, des caractères aléatoires ou des domaines inconnus ;
- des liens raccourcis envoyés par des expéditeurs inconnus ;
- des demandes immédiates d’identifiants de connexion, d’informations de carte bancaire ou d’autorisations pour une application.
Si votre navigateur ou votre logiciel de sécurité affiche un avertissement, ou si le site vous semble suspect, fermez immédiatement la page.
Comment se protéger contre l’hameçonnage par code QR ?
Il n’est pas nécessaire d’éviter complètement les codes QR : il suffit de les traiter comme des liens inconnus jusqu’à preuve du contraire. La plupart des attaques de ce type peuvent être évitées en adoptant des habitudes prudentes et en utilisant des outils de sécurité essentiels :
De bonnes habitudes pour scanner les codes QR
- Évitez de scanner les codes QR figurant dans des e-mails et des SMS non sollicités ou dans des publications sur les réseaux sociaux. Accédez directement aux pages Web ou aux applications officielles pour les paiements, les livraisons et les problèmes liés à votre compte.
- Dans les lieux publics, vérifiez les codes QR en vous adressant au personnel ou en les comparant aux URL imprimées sur la même affiche ou sur le ticket de caisse.
- Utilisez des applications de lecture de codes QR qui affichent un aperçu des URL avant leur ouverture. Cela vous permet de vérifier que le lien mène vers un site fiable.
- Vérifiez l’URL avant de saisir des informations personnelles : lorsque vous vous connectez ou effectuez des paiements, saisissez manuellement une adresse connue et fiable plutôt que de scanner un code QR.
Mesures de protection techniques et outils
- Mettez régulièrement à jour vos systèmes d’exploitation, navigateurs et applications afin de corriger les failles connues et de mieux bloquer les sites malveillants.
- Activez l’authentification multifacteur (AMF) sur vos comptes importants : même en cas de vol de mot de passe, l’AMF complique la tâche des cybercriminels qui tentent d’accéder à vos comptes.
- Utilisez des logiciels de sécurité fiables sur vos appareils mobiles pour bloquer les sites et les téléchargements malveillants.
- Ajoutez un niveau de protection supplémentaire contre les e-mails d’hameçonnage avant même de scanner un code QR, grâce à des outils tels que le détecteur d’e-mails frauduleux de Surfshark. Celui-ci signale les e-mails contenant des formulations alarmistes, vérifie les liens inclus et analyse les informations relatives à l’expéditeur, vous alertant des signes d’une éventuelle fraude (disponible pour votre boîte de messagerie Gmail sur l’extension Surshark pour Chrome).
Que faire si vous avez scanné un code QR malveillant ?
Réagir rapidement permet de limiter les dégâts. La première chose à faire est de cesser immédiatement toute interaction avec le site suspect. Les étapes suivantes dépendront de l’étendue de ce que vous avez effectué sur ce site.
Si vous avez simplement scanné le code sans saisir de données
Le simple fait d’accéder à un site d’hameçonnage sans interagir avec celui-ci est moins dangereux, mais restez vigilant.
- Fermez immédiatement l’onglet du navigateur.
- N’appuyez sur aucun bouton et n’acceptez aucune invite de téléchargement.
- Effacez l’historique et le cache de votre navigateur liés au site suspect.
- Surveillez l’apparition de fenêtres contextuelles, de ralentissements ou de comportements inhabituels au cours des jours suivants.
- Vérifiez la liste des applications sur votre téléphone et supprimez immédiatement toute application installée juste après avoir scanné le code.
Si vous avez saisi un mot de passe ou des informations personnelles
Les victimes peuvent être amenées à communiquer des informations personnelles après avoir scanné un code QR. Il est donc essentiel d’agir rapidement pour éviter que l’attaque ne prenne de l’ampleur.
- Changez immédiatement le mot de passe compromis, tant pour le service concerné que pour tous les autres comptes où vous l’avez réutilisé.
- Activez l’authentification multifacteur (AMF) à l’aide de données biométriques, d’une application d’authentification ou d’une clé matérielle.
- Vérifiez les activités récentes sur votre compte, déconnectez-vous des sessions actives et surveillez tout changement non autorisé.
- Envisagez d’utiliser un gestionnaire de mots de passe à l’avenir : des mots de passe uniques et robustes réduisent l’impact d’attaques ultérieures.
Si vous avez saisi des informations de paiement ou installé un fichier
- Contactez immédiatement votre banque ou l’émetteur de votre carte. Expliquez que les données de votre carte bancaire ont peut-être été compromises à la suite d’une fraude au code QR et demandez que les opérations soient surveillées, que la carte soit bloquée ou qu’une nouvelle carte soit émise.
- Vérifiez vos transactions récentes et configurez des alertes en cas de nouvelles opérations.
- Si vous avez téléchargé un fichier ou une application après avoir scanné un code QR, désinstallez toute application téléchargée et supprimez tout fichier suspect, puis lancez une analyse complète de votre appareil avec un logiciel de sécurité, comme Surfshark Antivirus. Cela permet de détecter les contenus malveillants susceptibles de s’exécuter en arrière-plan sur vos appareils personnels.
- Si de nombreuses informations personnelles ont été compromises, activez un service de surveillance de votre dossier de crédit pour détecter rapidement les signes éventuels d’usurpation d’identité.
Surveillance continue et signalement
- Surveillez régulièrement les comptes concernés pour détecter d’éventuels e-mails de réinitialisation de mot de passe, des alertes de connexion ou des messages inhabituels.
- Envisagez d’utiliser des outils de sécurité comme Surfshark Alert, qui peuvent vous avertir si votre adresse e-mail ou vos informations financières apparaissent sur Internet à la suite d’une fuite de données. Il s’agit d’un excellent moyen de détecter une éventuelle exposition de vos données à la suite d’un incident d’hameçonnage par code QR.
- Signalez l’attaque à la plateforme concernée (fournisseur ou application de messagerie) et, le cas échéant, au service informatique de votre entreprise ou aux organismes locaux de protection des consommateurs.
- Faites des captures d’écran du code QR frauduleux et des informations du site lorsque vous pouvez le faire en toute sécurité : cela permet aux équipes de sécurité d’enquêter et d’éviter que d’autres personnes n’en soient victimes.
Quishing, phishing, smishing et vishing : quelles sont les différences ?
Les attaques de type « quishing » (hameçonnage par code QR), « phishing » (hameçonnage), « smishing » (hameçonnage par SMS) et « vishing » (hameçonnage vocal) ont toutes le même objectif : tromper les victimes pour les inciter à communiquer des données ou transférer de l’argent. Lors de toutes ces fraudes, les cybercriminels ont souvent recours à l’usurpation d’identité, en imitant des marques, des numéros de téléphone ou des adresses e-mail de confiance, afin de rendre leurs messages convaincants. Ces attaques se font toutefois par différents canaux :
|
|
Canal
|
Pièges typiques
|
Exemple
|
|
Hameçonnage par code QR (quishing)
|
Codes QR (numériques ou physiques)
|
Avis de livraison, paiements, réductions
|
Scanner un code QR figurant sur un faux panneau de stationnement
|
|
Hameçonnage (phishing)
|
Généralement par e-mail
|
Réinitialisation de mot de passe, factures, alertes de compte
|
Cliquer sur un lien dans un e-mail redirigeant vers une fausse page de connexion bancaire
|
|
Hameçonnage par SMS (smishing)
|
Notifications de livraison, suspensions de compte, amendes
|
Appuyer sur un lien dans un SMS concernant un colis dont la livraison a échoué
|
|
|
Hameçonnage vocal (vishing)
|
Appels téléphoniques
|
Assistance technique, alertes de fraude bancaire
|
Un appel d’une personne affirmant que votre compte a été piraté
|
Conclusion : concilier praticité des codes QR et sécurité
Les codes QR font désormais partie intégrante de notre quotidien, que ce soit pour les paiements, les billets, les menus ou les vérifications. Ils ne sont pas près de disparaître et les pirates continueront donc à les exploiter. La bonne nouvelle est qu’il n’est pas pour autant nécessaire de les éviter complètement. Il suffit de considérer chaque code QR comme un lien non fiable par défaut, de prendre le temps de vérifier le contexte avant de le scanner, d’adopter les outils de sécurité et les bonnes pratiques que vous avez découverts dans cet article.
Questions fréquentes
Un code QR est-il dangereux en soi, ou seulement la page vers laquelle il redirige ?
Un code QR n’est qu’un motif qui encode des données. Il n’est pas dangereux par nature. Le danger provient du site, de l’application ou de l’action qu’il déclenche une fois scanné. Les codes QR malveillants redirigent généralement vers un site d’hameçonnage ou déclenchent un téléchargement susceptible de voler des données ou d’installer un logiciel malveillant sur votre appareil. Le simple fait de voir ou de photographier un code QR sans le scanner n’entraînera pas d’infection.
Scanner un code QR peut-il installer un logiciel malveillant ?
Sur la plupart des téléphones récents, scanner un code QR ouvre un aperçu de l’URL qui nécessite au moins un clic avant que le site ne se charge ou que le téléchargement ne soit lancé. Les logiciels malveillants ont généralement besoin que vous cliquiez, installiez ou accordiez des autorisations. Cependant, certaines attaques de type « drive-by » (téléchargement furtif) peuvent exploiter des navigateurs ou des applications obsolètes, d’où l’importance de mettre régulièrement à jour votre appareil. Si une page inattendue s’affiche après avoir scanné un code QR, fermez-la immédiatement.
Est-il plus sûr de supprimer ou de signaler un e-mail d’hameçonnage par code QR ?
Pour la plupart des internautes, supprimer le message sans y donner suite est l’option la plus simple et la plus sûre. S’il s’agit d’un compte professionnel, respectez les politiques internes : signalez les e-mails suspects contenant des codes QR à votre équipe informatique ou de sécurité plutôt que de simplement les supprimer, afin que la menace soit bloquée à l’échelle de l’entreprise.
Faut-il totalement éviter les codes QR pour rester en sécurité ?
Non. De nombreux codes QR sont légitimes et réellement utiles pour les billets, les menus et les applications. L’objectif n’est pas de ne jamais scanner de codes QR, mais d’éviter de leur faire aveuglément confiance. Vérifiez la source, prêtez attention à l’aperçu de l’URL et restez prudent dès qu’il est question d’argent ou d’identifiants de connexion. Une bonne règle à suivre : scannez uniquement les codes QR auxquels vous faites confiance, et considérez chacun comme un lien de hameçonnage potentiel jusqu’à ce que vous l’ayez vérifié.
Références
- https://keepnetlabs.com/blog/qr-code-phishing-trends-in-depth-analysis-of-rising-quishing-statistics
- https://blog.barracuda.com/2024/10/22/threat-spotlight-evolving-qr-codes-phishing-attacks
- https://www.pcmag.com/news/scammers-stick-fraudulent-qr-codes-on-texas-parking-meters
- https://cfeu.org.uk/beware-of-parking-scams-stay-safe-when-paying-for-parking/
- https://www.ic3.gov/PSA/2021/PSA211104
- https://www.fbi.gov/investigate/cyber/alerts/2025/unsolicited-packages-containing-qr-codes-used-to-initiate-fraud-schemes
- https://abnormal.ai/newsroom/press-releases/h1-2024-threat-report
