Les QR codes sont-ils sûrs ? Arnaques au QR code et comment les éviter

Comment fonctionnent les arnaques au QR code

Le principe est toujours le même : un QR code d'apparence officielle vous envoie là où vous ne vous y attendiez pas. Variantes courantes :

• Autocollants collés sur de vrais codes sur les horodateurs, les bornes de recharge, les vélos et trottinettes en libre-service, les tables de restaurant ou les affiches, qui mènent à une fausse page de paiement.
• E-mails et courriers avec un QR code (« Votre colis est en attente », « Confirmez votre compte bancaire », « Votre mot de passe expire aujourd'hui ») qui ouvrent une fausse page de connexion.
• Faux avis de stationnement ou fausses factures sur le pare-brise ou dans la boîte aux lettres, avec un code pour payer.
• Des codes qui font plus qu'ouvrir une page : lancer un appel ou un SMS vers un numéro surtaxé, se connecter à un Wi-Fi inconnu ou installer une appli.

Avant d'ouvrir un lien scanné

Votre téléphone affiche l'adresse avant de l'ouvrir. Prenez deux secondes pour la lire.

• L'adresse correspond-elle à l'expéditeur supposé ? Une banque, une société de stationnement ou une boutique doit utiliser son propre domaine connu, pas un nom bizarre, des lettres au hasard ou une faute volontaire comme paypa1.
• Est-ce un lien raccourci (bit.ly et autres) pour quelque chose qui demande un paiement ? Redoublez de prudence, car vous ne voyez pas la vraie destination.
• Le code est-il un autocollant posé sur un autre code ? Regardez bien, surtout pour tout ce qui sert à payer.
• Est-il arrivé sans que vous l'attendiez par e-mail, courrier ou SMS ? Ne le scannez pas. Allez plutôt vous-même sur le site ou l'appli de l'entreprise.

Signaux d'alerte après l'ouverture

• La page demande un mot de passe, un code PIN, un numéro de carte ou vos identifiants bancaires alors que vous vouliez juste lire un menu ou payer votre stationnement.
• Elle vous presse : « Payez sous 24 heures », « Votre compte va être bloqué ».
• Elle vous demande d'installer une appli ou une « mise à jour de sécurité ».
• Elle ouvre un SMS ou un appel vers un numéro que vous ne connaissez pas.

Pour payer dans les lieux publics, le plus sûr est l'appli officielle de l'opérateur ou l'horodateur lui-même, pas un code que vous ne pouvez pas vérifier.

Si vous avez déjà donné vos informations

1. Coordonnées bancaires : appelez immédiatement votre banque et faites opposition à votre carte. Vérifiez vos dernières opérations.
2. Un mot de passe : changez-le sur le vrai site et partout où vous utilisez le même mot de passe. Activez la double authentification.
3. Une appli installée : désinstallez-la et lancez la vérification de sécurité du téléphone.
4. Prévenez l'entreprise dont l'identité a été usurpée ainsi que le responsable du lieu où vous avez trouvé le faux autocollant. Pour signaler l'arnaque ou porter plainte, consultez les démarches indiquées ci-dessous.

Signaler une arnaque ou porter plainte

Ce sont deux démarches différentes. Signaler un message ou un code suspect aide les autorités à repérer les arnaques et à prévenir le public, même si vous n'avez rien perdu. Porter plainte est nécessaire si vous êtes victime (argent perdu, compte piraté, données volées) : un signalement ne remplace pas une plainte.

• France : cybermalveillance.gouv.fr vous informe et vous oriente selon votre situation. Pour signaler des contenus illicites en ligne, utilisez la plateforme PHAROS. Pour porter plainte, adressez-vous à la police ou à la gendarmerie.
• Belgique : transférez les messages suspects à suspect@safeonweb.be (voir Safeonweb). En cas de fraude, portez plainte auprès de votre police locale.
• Suisse : cybercrimepolice.ch présente les arnaques en cours et permet de signaler un cas. Pour porter plainte, adressez-vous à la police cantonale.
• Canada : signalez la fraude au Centre antifraude du Canada et portez plainte auprès de votre police locale.

Pour les entreprises : créer des QR codes dignes de confiance

À mesure que les arnaques par QR code se font connaître, les clients deviennent plus méfiants. Adoptez les bonnes pratiques suivantes pour inspirer confiance et rendre vos codes plus difficiles à remplacer ou à détourner :

• Faites pointer les codes vers votre propre domaine (taboutique.fr/menu), pour que l'adresse vue par les gens soit clairement la vôtre.
• Imprimez aussi l'adresse web à côté du code, pour que les gens puissent comparer. L'option de description du générateur ajoute du texte sous le code.
• Utilisez des codes statiques. Les codes des services de QR codes dynamiques passent par le serveur de quelqu'un d'autre, qui peut afficher un autre contenu plus tard. Voir QR codes statiques et dynamiques.
• Ajoutez votre logo dans le code (réglages du générateur → Logo au centre), pour qu'un simple autocollant posé dessus se remarque.
• Empêchez le remplacement du code : placez-le derrière une vitre, plastifiez-le ou imprimez-le directement sur le panneau plutôt que sur un autocollant séparé.
• Vérifiez régulièrement les codes publics, surtout tout ce qui concerne un paiement, et scannez-les vous-même de temps en temps.
• Ne demandez jamais de mot de passe ni de coordonnées bancaires sur la page ouverte par un code, sauf si le client s'attend clairement à payer à cet endroit.

Pour aller plus loin : découvrez comment scanner un QR code sur iPhone et Android.

Vous voulez voir où mène un code sans l'ouvrir ? Collez une capture d'écran dans le lecteur de QR code.