Réponse courte
Un QR code n’est qu’un lien que vous ne pouvez pas lire. Les escrocs collent de faux codes sur les vrais — la FTC cite les horodateurs — ou les envoient par e-mail, SMS ou courrier avec un prétexte : colis non livré, problème de compte, changement de mot de passe obligatoire. Le code ouvre une fausse page de connexion ou de paiement, ou un téléchargement. Avant d’ouvrir, vérifiez l’adresse web affichée par l’appareil photo ; ne scannez pas les codes de messages inattendus ; et payez plutôt via l’appli ou le site officiels. Si vous avez saisi un mot de passe, changez-le depuis un appareil sain et fermez les autres sessions ; si vous avez saisi vos données bancaires, appelez votre banque.
Où apparaissent les faux QR codes
- Des autocollants posés sur le vrai code d’horodateurs, de bornes de recharge, de tables de restaurant ou d’affiches.
- Des e-mails annonçant le blocage de votre compte si vous ne vous « revérifiez » pas en scannant — un code est plus difficile à contrôler pour les filtres de messagerie qu’un lien, et il vous fait basculer sur votre téléphone.
- Des SMS et courriers sur un colis, une amende ou un remboursement.
- De faux messages du « support » sur les réseaux sociaux qui demandent de scanner un code pour vérifier ou débloquer votre compte.
Vérifier un code avant de l’ouvrir
- Lisez l’aperçu de l’adresse avant de toucher. Repérez les fautes ou lettres inversées qui imitent un site connu — premier conseil de la FTC.
- Sur un horodateur ou une affiche, cherchez un autocollant posé sur le code d’origine ou d’autres traces de manipulation.
- Ne scannez pas un code reçu dans un e-mail ou un SMS inattendu, surtout s’il vous presse. Contactez l’entreprise par un site ou un numéro que vous savez authentique.
- Pour payer ou vous connecter, préférez l’appli officielle ou tapez l’adresse vous-même.
- Ne saisissez jamais de mot de passe ou de code de vérification sur une page atteinte par un code inattendu.
Si vous l’avez déjà scanné
| Ce qui s’est passé | À faire maintenant |
|---|---|
| Vous avez seulement ouvert la page | La fermer sans rien saisir et garder le téléphone à jour |
| Vous avez saisi un mot de passe | Le changer depuis un appareil sain (messagerie d’abord), fermer les autres sessions, activer la 2FA |
| Vous avez saisi vos données bancaires | Appeler la banque au numéro de la carte, faire opposition et contester le paiement |
| Vous avez installé une appli ou un fichier | La désinstaller, mettre à jour et analyser le téléphone, puis changer les mots de passe depuis un autre appareil |
| Vous avez donné un code de vérification | Considérer le compte comme piraté et suivre la procédure officielle de récupération |
Protéger téléphone et comptes
- Gardez le système de votre téléphone à jour, comme le conseille la FTC.
- Utilisez des mots de passe forts et l’authentification multifacteur — idéalement une clé d’accès, impossible à saisir sur une fausse page.
- Un gestionnaire de mots de passe ne remplit rien sur un site imité : c’est en soi un signal d’alerte.
- Après tout faux pas, vérifiez où vous êtes connecté : appareils connectés.
Signaler
Prévenez le gestionnaire de l’horodateur, du parking ou du commerce, et signalez le message à votre messagerie ou au service national de signalement — voir comment signaler l’hameçonnage. En cas de préjudice financier, portez plainte ; pour les autres pays, voir où signaler une fraude en ligne.
Questions fréquentes
Scanner un QR code peut-il pirater mon téléphone ?
Scanner ne fait que lire un lien. Le danger vient ensuite : saisir des informations sur une fausse page ou installer quelque chose. La FTC rappelle qu’un code peut aussi mener à un logiciel malveillant ; gardez le téléphone à jour et n’installez pas d’appli depuis un lien.
Comment savoir si un QR code est faux ?
Vérifiez l’aperçu de l’adresse avant d’ouvrir, cherchez un autocollant posé sur le code d’origine et méfiez-vous des codes reçus dans des e-mails ou SMS inattendus qui vous pressent.
Qu’est-ce que le quishing ?
L’hameçonnage par QR code : un QR code remplace le lien cliquable pour envoyer vers une fausse page de connexion ou de paiement.
J’ai payé mon stationnement via un faux QR code. Que faire ?
Appelez immédiatement votre banque pour faire opposition et contester le paiement, puis signalez le code au gestionnaire du parking et portez plainte.
Sources: FTC — les escrocs cachent des liens malveillants dans des QR codes, FTC — reconnaître et éviter l’hameçonnage, NCSC — signaler les e-mails, SMS et sites frauduleux, FTC — ReportFraud.ftc.gov