Arnaque au QR code : repérer un faux code avant de le scanner

Une arnaque au QR code consiste à vous envoyer vers une fausse page qui vous demande un paiement, un mot de passe ou l'installation d'une application. Avant de faire confiance à un code, vérifiez l'adresse que votre téléphone affiche avant de l'ouvrir, et ne saisissez jamais vos coordonnées bancaires ni vos mots de passe sur une page atteinte en scannant un code inattendu.

Les QR codes sont partout : horodateurs, tables de restaurant, avis de passage, affiches et portes d'entrée. C'est justement pour cela que les escrocs les apprécient. Ce guide explique comment fonctionnent les arnaques les plus courantes, vous donne une vérification rapide à faire en quelques secondes, vous dit quoi faire si vous avez déjà scanné un mauvais code et montre comment protéger un code que vous affichez vous-même.

Comment fonctionne l'arnaque au QR code

Un QR code n'est qu'un lien imprimé sous forme de petits carrés. Impossible de le lire à l'œil nu : vous ne savez pas où il mène tant que votre téléphone ne l'a pas décodé. Les escrocs exploitent cet angle mort. On parle souvent de « quishing », contraction de QR et de phishing (hameçonnage).

Le code lui-même est inoffensif. Le danger, c'est la page qu'il ouvre. Cette page cherche généralement à obtenir l'une de ces trois choses :

• De l'argent : une fausse page de paiement pour un stationnement, un péage, des frais de livraison ou une amende.
• Vos identifiants : une copie de la page de connexion de votre banque, de votre messagerie ou d'un transporteur, qui enregistre tout ce que vous tapez.
• Une installation : une invitation à télécharger une application ou un fichier en dehors de la boutique officielle.

Un code imprimé ne coûte presque rien, et un autocollant se pose sur un vrai code en quelques secondes. C'est pourquoi les arnaques les plus fréquentes ont lieu dans les lieux publics, où personne ne vérifie qui a collé quoi.

Les arnaques au QR code les plus courantes

Les détails changent, mais la plupart des cas suivent quelques schémas bien connus :

• Un autocollant sur un vrai code. Un faux code est collé par-dessus l'original sur un horodateur, une borne de recharge, une station de vélos en libre-service ou une table de restaurant.
• Faux avis de stationnement ou d'amende. Un papier sur votre pare-brise indique que vous devez payer tout de suite en scannant un code.
• Avis de passage et de livraison. Une carte dans votre boîte aux lettres ou un courrier annonce qu'un colis vous attend et réclame de petits frais ou vos coordonnées.
• E-mails et SMS avec un code. Le message affiche un QR code au lieu d'un lien, pour que vous le scanniez avec votre téléphone, loin des protections de votre ordinateur.
• Des codes qui promettent quelque chose. Affiches ou prospectus avec des cadeaux, des réductions ou un Wi-Fi gratuit qui vous demandent d'abord de vous connecter.

Leur point commun, c'est la pression. Une vraie société de stationnement ou un vrai transporteur vous demande rarement de payer en quelques minutes via un code scotché sur un poteau.

Comment vérifier un QR code avant de lui faire confiance

Pas besoin de logiciel spécial. La plupart des appareils photo de téléphone affichent l'adresse dans un petit bandeau avant de l'ouvrir, et cet aperçu est votre meilleur outil. Si vous ne savez pas comment fait votre téléphone, notre guide pour scanner un QR code sur Android et iPhone vous montre la marche à suivre.

1. Regardez le code lui-même. Passez le doigt dessus. Un autocollant aux bords en relief, une deuxième couche ou un code qui paraît plus récent que le panneau autour est un signal d'alerte.
2. Lisez l'adresse avant de toucher. Vérifiez le domaine : la partie juste avant la première barre oblique simple. Ce doit être l'entreprise attendue, bien orthographiée, et non une imitation avec des mots en plus ou des lettres inversées.
3. Méfiez-vous des liens raccourcis. Une adresse raccourcie cache la vraie destination. Si le code sert à payer quelque chose, c'est une raison de s'arrêter.
4. Demandez-vous ce que veut la page. Un menu ou des horaires devraient simplement s'afficher. Une page qui réclame un numéro de carte, un mot de passe ou une installation mérite un second regard.
5. Passez plutôt par le canal officiel. Si un code vous demande de payer, ouvrez l'application de l'entreprise ou tapez vous-même l'adresse de son site. Vous perdez une minute et vous supprimez le risque.
6. Fiez-vous au contexte. Un code inattendu, dans un message que vous n'avez pas demandé, avec un délai à respecter : c'est la forme classique d'une arnaque.

Que faire si vous avez scanné un faux QR code

Scanner un code ne fait presque jamais de dégâts à lui seul. Ce qui compte, c'est ce que vous avez fait ensuite sur la page. Agissez selon ce qui s'est passé :

• Vous avez seulement ouvert la page. Fermez-la. Fermer cet onglet suffit en général.
• Vous avez saisi un mot de passe. Changez-le tout de suite sur le vrai site, ainsi que sur tous les comptes où vous utilisez le même. Activez la validation en deux étapes si elle est proposée.
• Vous avez saisi votre carte ou payé. Appelez votre banque au numéro inscrit au dos de votre carte et demandez-lui de faire opposition et d'examiner le paiement.
• Vous avez installé quelque chose. Désinstallez-le et vérifiez dans les réglages de votre téléphone s'il y a des applications que vous ne reconnaissez pas.
• Le code se trouvait sur un panneau public. Prévenez le propriétaire de l'horodateur, du commerce ou de la borne pour qu'il le retire, et portez plainte auprès de la police ou de la gendarmerie si vous avez perdu de l'argent.

Comment protéger le QR code de votre propre porte

De plus en plus de gens collent un QR code sur leur porte, leur portail ou leur comptoir : pour un menu, un paiement, le Wi-Fi ou une sonnette. La même ruse de l'autocollant peut vous viser, alors quelques habitudes aident :

1. Placez-le là où vous le voyez. À hauteur des yeux, dans l'encadrement de la porte ou derrière une vitre, là où un inconnu ne peut pas le recouvrir sans se faire remarquer.
2. Jetez-y un œil de temps en temps. En rentrant chez vous, regardez le code. S'il a changé, s'il a une deuxième couche ou s'il a bougé, scannez-le vous-même.
3. Protégez-le des intempéries. Un code délavé ou qui se décolle invite au remplacement. Couvrez-le d'adhésif transparent ou d'une pochette. S'il a déjà du mal à être lu, consultez nos 10 solutions pour un QR code imprimé qui ne fonctionne pas.
4. Ne l'utilisez jamais pour des paiements que vous ne contrôlez pas. Le code de votre porte doit lancer une conversation, pas demander de l'argent à vos visiteurs.

Une sonnette QR comme Qoorbell applique cette dernière règle par conception. Le visiteur scanne le code avec l'appareil photo de son téléphone, une page web s'ouvre sans application ni compte, et il peut vous appeler en vidéo ou discuter avec vous par chat. Rien sur cette page ne lui demande d'argent ni de mot de passe. Il ne voit que le nom de votre sonnette, jamais votre numéro de téléphone, votre e-mail ou d'autres données personnelles : le code ne vous expose donc pas non plus.

Ce nom de sonnette est aussi une vérification rapide pour les visiteurs : s'ils scannent votre porte et que le nom affiché n'est pas le vôtre, quelque chose cloche. Et si un code est abîmé ou arraché, vous pouvez en imprimer gratuitement un nouveau depuis votre compte, puisqu'il n'y a aucun matériel à remplacer.

Ce qu'il faut retenir

Aucune liste de contrôle ne vous rend invulnérable. Une fausse page bien faite peut ressembler trait pour trait à la vraie. L'habitude la plus sûre est donc simple : ne payez pas et ne vous connectez pas depuis une page atteinte par un code inattendu.

Une sonnette QR n'empêche personne de coller un faux code sur votre porte ; elle vous aide seulement à le remarquer. Qoorbell n'est ni un système d'alarme ni une caméra qui surveille votre porte. Si vous voulez sécuriser toute votre entrée, nos conseils de sécurité pour la maison à petit budget parlent des serrures, de l'éclairage et des habitudes qui comptent plus que n'importe quel code.

Enfin, il s'agit de conseils de sécurité généraux, pas d'un avis juridique ou financier. Si vous avez perdu de l'argent, votre banque et la police sont les bons interlocuteurs.

Questions fréquentes

Scanner un QR code peut-il pirater mon téléphone ?

Le simple fait de scanner ne fait presque jamais rien. Le risque vient de ce que vous faites ensuite : saisir un mot de passe, payer ou installer une application depuis la page ouverte.

Comment savoir si un QR code est faux ?

Cherchez un autocollant posé sur un autre code, lisez l'adresse que votre téléphone affiche avant de l'ouvrir et méfiez-vous de toute page qui vous presse de payer ou de vous connecter.

Les QR codes sur les horodateurs sont-ils sûrs ?

Beaucoup sont authentiques, mais les horodateurs sont une cible fréquente des autocollants. En cas de doute, payez avec l'application ou le site officiel du service de stationnement plutôt qu'avec le code.

Quelqu'un peut-il coller un faux code sur ma sonnette QR ?

Oui, c'est possible, d'où l'intérêt de placer le code là où vous le voyez chaque jour et de le vérifier de temps en temps. Les visiteurs qui scannent votre code Qoorbell voient le nom de votre sonnette : un nom différent est un signe facile que quelque chose ne va pas.

Scannez en toute sécurité

Les QR codes sont pratiques, et la plupart sont exactement ce qu'ils semblent être. Quelques secondes pour vérifier l'autocollant, l'adresse et ce que demande la page suffisent à éviter la plupart des arnaques. Si vous voulez un code sur votre porte qui met seulement vos visiteurs en relation avec vous, sans montrer votre numéro, créez votre sonnette Qoorbell gratuite.