Quishing : reconnaître une arnaque au QR code et réagir

Le quishing est une forme de phishing dans laquelle le lien malveillant est dissimulé dans un QR code. L'objectif est de vous conduire vers une fausse page pour obtenir vos identifiants, vos données bancaires ou un paiement. Le lien peut aussi proposer un fichier malveillant ou une application frauduleuse. Cybermalveillance.gouv.fr décrit ces mécanismes dans son dossier sur le quishing.

Le smishing désigne l'hameçonnage par SMS ; le quishing désigne le recours au QR code. Les deux peuvent se combiner. Un QR code légitime reste un outil pratique : sa présence n'est pas, à elle seule, un signe d'arnaque.

Sur une affiche ou un écran, le dessin ne permet pas de lire directement l'adresse. Le fraudeur profite du geste habituel « scanner puis ouvrir » et de la confiance accordée au support. Une fausse page peut ensuite reprendre un logo et demander une connexion ou un règlement, comme l'explique Ma Sécurité.

Scan ≠ compromission automatique. Lire le code et afficher l'aperçu n'est pas la même chose qu'ouvrir le site, saisir un secret, payer, installer un logiciel ou autoriser un accès. Le risque augmente avec ces actions. Une page malveillante peut aussi exploiter un appareil vulnérable : gardez téléphone et navigateur à jour.

Voici des scénarios à reconnaître, sans les attribuer à un établissement particulier. Les faux avis, parcmètres et bornes figurent parmi les exemples recensés par Cybermalveillance.gouv.fr.

Ces indices invitent à vérifier ; ils ne constituent pas chacun une preuve. À l'inverse, un QR code bien imprimé et une page soignée ne prouvent rien. La FTC recommande notamment de contrôler l'adresse et de résister à l'urgence.

Regardez si le code paraît recollé. Dans un commerce, demandez au personnel de confirmer le support et le moyen de paiement. Pour une administration ou un règlement, privilégiez l'application habituelle ou saisissez vous-même l'adresse officielle connue.

Si vous scannez, utilisez l'aperçu d'URL proposé par votre téléphone lorsqu'il existe. Lisez le domaine avant d'ouvrir, puis contrôlez l'adresse finale. Un nom familier dans le chemin de l'URL ne suffit pas. Si la destination reste masquée ou douteuse, renoncez et contactez l'organisme par ses coordonnées habituelles. Ces vérifications sont recommandées par la FTC.

Ces réflexes s'appuient sur les fiches hameçonnage et virus informatiques. Gardez les messages, captures, URL et photos du support sans rouvrir le lien dangereux.

Vérifier un QR code est disponible dans l'application, sur Android et sur iPhone. Scannez le code avec l'appareil photo depuis DYLETH, ou choisissez une image : l'application lit le QR code sans l'ouvrir et indique s'il mène vers un faux site, par exemple un faux QR collé sur un horodateur, une borne de recharge ou un courrier d'amende.

La navigation protégée bloque aussi les sites frauduleux connus dans toutes les applications, en Wi-Fi comme en 4G/5G, si un lien a déjà été ouvert. Ces repères aident à décider ; ils ne remplacent pas le contrôle de la destination et de la demande affichée.

Consulter les fonctionnalités de DYLETH.

Pour distinguer signalement, plainte et démarches bancaires, consultez notre guide : qui contacter pour signaler une arnaque ?

Un QR code n'authentifie pas son destinataire. Contrôlez le support, l'adresse et la demande. Après un doute, réagissez selon ce que vous avez réellement ouvert, transmis ou installé, sans confondre scan et compromission.

Qu'est-ce que le quishing ?

Le quishing est une forme de phishing dans laquelle le lien malveillant est caché dans un QR code. Il conduit vers une fausse page qui cherche à obtenir vos identifiants, vos données bancaires ou un paiement, ou à faire installer un fichier ou une application frauduleuse.

Scanner un QR code frauduleux suffit-il à pirater mon téléphone ?

Non, le scan seul ne signifie pas que le téléphone est compromis. Le risque augmente si vous ouvrez la page, saisissez un mot de passe, payez, installez un logiciel ou autorisez un accès. Gardez téléphone et navigateur à jour.

Comment reconnaître un faux QR code ?

Méfiez-vous d'une étiquette superposée ou décollée, d'un message non sollicité qui impose un QR code, d'une urgence à payer, d'un domaine trompeur ou d'une demande disproportionnée comme la carte bancaire pour consulter un menu.

J'ai donné ma carte bancaire après avoir scanné un QR code, que faire ?

Contactez immédiatement votre banque par son numéro habituel et faites opposition si les données de la carte sont compromises. Précisez les informations transmises et conservez montant, bénéficiaire et référence.

Où signaler un faux QR code ?

Prévenez le gestionnaire du support (commune, commerce, borne), utilisez 17Cyber pour être orienté, et déposez plainte ou utilisez THESEE ou Perceval selon votre situation.