Vous voyez un QR code sur un parcmètre, une facture, un colis ou un message. Vous sortez votre téléphone, vous le scannez… et une page s’ouvre.
Le geste paraît anodin. Pourtant, derrière ce simple carré peut se cacher une tentative de phishing, appelée quishing lorsqu’elle utilise un QR code.
Le phénomène mérite aujourd’hui une vraie attention : Microsoft a observé une progression des attaques de phishing par QR code, de 7,6 millions en janvier 2026 à 18,7 millions en mars 2026, soit une hausse de 146 % sur le trimestre. :contentReference[oaicite:2]{index=2}
Un QR code est simplement un moyen pratique de transmettre une information, souvent une adresse web. Le danger vient de la destination vers laquelle il vous envoie.
Qu’est-ce que le quishing ?
Le mot quishing vient de la combinaison de « QR code » et « phishing ». Le principe est identique à celui d’un hameçonnage classique : faire croire à l’utilisateur qu’il se trouve sur un service légitime afin de l’inciter à effectuer une action.
Le QR code peut ainsi conduire vers une fausse page de connexion, une fausse page de paiement ou un site destiné à récupérer des informations personnelles ou bancaires.
Cybermalveillance.gouv.fr cite notamment des cas de faux avis de contravention, de faux avis de passage, de QR codes frauduleux placés sur des parcmètres ou des bornes de recharge, ainsi que de fausses confirmations de connexion. :contentReference[oaicite:3]{index=3}
Pourquoi un QR code peut être trompeur
Lorsque vous voyez une adresse web écrite dans un message, vous pouvez généralement la lire avant de cliquer. Avec un QR code, l’adresse est cachée dans l’image.
C’est précisément ce qui peut rendre la vérification moins évidente : le QR code semble neutre alors que la destination peut être frauduleuse.
Le scénario classique
Le téléphone lit le QR code.
Une adresse web est proposée.
La page peut reproduire l’apparence d’un service connu.
L’utilisateur est invité à se connecter, payer ou communiquer des informations.
Le bon réflexe : regarder avant de continuer
Il n’est pas nécessaire d’être informaticien pour se protéger. Dans la plupart des situations, quelques secondes de vérification suffisent.
Scanner ne signifie pas accepter. Après le scan, prenez le temps de regarder la page et son adresse avant de poursuivre.
Exemple concret : payer son stationnement
Imaginez un QR code placé sur un parcmètre. Vous voulez simplement payer votre stationnement. Vous le scannez et votre navigateur ouvre une page de paiement.
Vous n’avez pas besoin d’un outil spécialisé pour faire une première vérification.
Avant de payer, vérifiez :
- Le service : est-ce bien le service de stationnement attendu ?
- L’adresse : le domaine correspond-il réellement au service ?
- La demande : vous demande-t-on uniquement les informations nécessaires ?
- Le doute : si quelque chose paraît inhabituel, utilisez plutôt l’application ou le site officiel du service.
Un QR code présent sur un support physique n’est pas automatiquement fiable. Cybermalveillance.gouv.fr a notamment documenté des cas de QR codes frauduleux apposés sur des parcmètres et des bornes de recharge. :contentReference[oaicite:4]{index=4}
Comment reconnaître une destination suspecte ?
Regardez l’adresse affichée par le navigateur. Les cybercriminels peuvent utiliser des noms de domaine qui ressemblent à ceux d’un service connu.
Les signaux qui doivent vous faire ralentir
- Un nom de domaine qui ne correspond pas au service attendu.
- Des fautes ou des caractères inhabituels dans l’adresse.
- Une demande urgente ou inhabituelle.
- Une demande de données qui n’ont aucun rapport avec l’action demandée.
- Une page qui semble différente de celle du service officiel.
Et si vous avez un doute ?
Le meilleur réflexe n’est pas de chercher à prouver que le site est frauduleux. Il suffit de ne pas poursuivre l’action.
Fermez la page et accédez directement au service depuis son application officielle ou en saisissant vous-même son adresse connue dans le navigateur.
Si vous doutez, ne payez pas et ne saisissez rien. Reprenez la procédure depuis une source officielle.
VirusTotal : une vérification supplémentaire
Pour une URL reçue dans un contexte suspect, des outils d’analyse comme VirusTotal peuvent apporter une information supplémentaire sur la réputation ou les détections associées à l’adresse.
Il faut toutefois considérer ce type de résultat comme un indicateur et non comme une garantie absolue. Une URL récente ou nouvelle peut ne pas encore être détectée.
Vous avez déjà scanné un QR code suspect ?
Scanner un QR code ne signifie pas automatiquement que votre appareil a été compromis. La réaction dépend surtout de ce que vous avez fait ensuite.
Vous avez simplement ouvert la page
Fermez-la et ne saisissez aucune information.
Vous avez saisi votre mot de passe
Changez immédiatement le mot de passe depuis le véritable site du service concerné. Si ce mot de passe est utilisé ailleurs, changez-le également.
Vous avez communiqué des informations bancaires
Contactez rapidement votre banque par un canal officiel et surveillez les opérations de votre compte.
Vous avez téléchargé un fichier
N’exécutez pas le fichier et faites vérifier votre appareil avec les outils de sécurité appropriés.
Le protocole HEXAOS
Pour retenir l’essentiel, gardez cette séquence simple :
Seulement si le contexte est cohérent.
Observer la page et l’adresse affichée.
S’assurer que le domaine correspond au service attendu.
Au moindre élément inhabituel, arrêter la procédure.
Seulement lorsque la destination est cohérente.
Pour les entreprises
En entreprise, le QR code doit être considéré comme un moyen supplémentaire de présenter un lien, et non comme une preuve de légitimité. Les collaborateurs doivent savoir reconnaître les demandes inhabituelles et surtout savoir quoi faire lorsqu’ils ont un doute.
- Ne jamais communiquer un mot de passe après avoir suivi un QR code inattendu.
- Vérifier le domaine avant une connexion ou un paiement.
- Utiliser l’authentification multifacteur lorsque cela est disponible.
- Signaler rapidement un QR code ou un message suspect.
Le réflexe HEXAOS
Un QR code est pratique. Il ne garantit pas que sa destination soit légitime.
Scannez si nécessaire. Regardez. Vérifiez. Et au moindre doute, arrêtez-vous.
Sources
Le quishing ne nécessite pas de connaissances techniques pour être évité. Le réflexe essentiel consiste à ne jamais considérer un QR code comme une preuve de confiance.
Avant un paiement, une connexion ou la transmission d’une information sensible : regardez la destination, vérifiez le domaine et arrêtez-vous au moindre doute.
