Un simple carré noir et blanc peut sembler totalement inoffensif. Pourtant, un QR code peut devenir le point de départ d’une tentative de phishing, une technique désormais appelée quishing.
Microsoft indique que les attaques de phishing utilisant des QR codes sont passées de 7,6 millions en janvier 2026 à 18,7 millions en mars 2026, soit une hausse de 146 % sur cette période selon sa télémétrie.
Un QR code n’est pas dangereux en lui-même. Le risque vient de la destination vers laquelle il vous dirige. Avant de faire confiance à une page ouverte depuis un QR code, il faut vérifier son contexte et son adresse.
Qu’est-ce que le quishing ?
Le quishing est une variante du phishing dans laquelle le QR code sert à transmettre ou masquer une adresse web. Une fois scanné, celui-ci peut conduire vers une page frauduleuse conçue pour récupérer des identifiants, des informations personnelles ou des données bancaires.
Le principe est simple : faire confiance au geste de scanner avant même d’avoir vérifié la destination.
Un QR code affiché sur une facture, une affiche, un email ou un document qui semble officiel ne garantit absolument pas que le lien qu’il contient soit légitime.
Pourquoi le quishing est efficace
Le QR code introduit une étape supplémentaire entre l’utilisateur et la destination. Au lieu de voir immédiatement une adresse web dans un message, l’utilisateur utilise son smartphone et arrive directement sur une page.
Cette mécanique peut réduire le temps consacré à la vérification du domaine et faciliter l’utilisation d’une fausse page imitant un service connu.
Les éléments à surveiller
- Un message inattendu contenant un QR code.
- Une demande présentée comme urgente.
- Une demande de connexion ou de paiement.
- Un QR code collé sur un support existant.
- Une adresse qui ne correspond pas au service attendu.
Où peut-on rencontrer des QR codes frauduleux ?
Cybermalveillance.gouv.fr documente plusieurs scénarios dans lesquels des QR codes peuvent être utilisés à des fins d’hameçonnage : fausses amendes, fausses notifications de La Poste, horodateurs, bornes de recharge ou encore fausses demandes de connexion à Microsoft 365.
Le contexte dans lequel le QR code apparaît doit donc être examiné avec autant d’attention que le code lui-même.
1. Ne scannez pas immédiatement
Avant de scanner, prenez quelques secondes pour déterminer pourquoi le QR code est présent et ce que l’on vous demande réellement de faire.
Si vous ne savez pas pourquoi un QR code vous demande d’effectuer une action, ne le scannez pas immédiatement.
2. Décoder le QR code avant d’ouvrir le lien
Lorsque vous disposez d’une image contenant un QR code, il est possible d’en extraire le contenu sans ouvrir directement la page de destination.
Avec ZBar, cette commande permet de lire le contenu du QR code et, lorsqu’il contient une URL, de récupérer cette adresse avant de décider de l’ouvrir.
Le but est de connaître la destination avant de l’ouvrir. Une URL peut ensuite être examinée séparément avant toute interaction avec le site.
3. Examinez attentivement le domaine
Une URL doit être examinée avant toute saisie d’identifiant ou d’information sensible. Les attaquants peuvent utiliser des domaines qui ressemblent fortement à ceux d’organisations connues.
Ce qu’il faut vérifier
- Le véritable nom de domaine.
- Les fautes ou caractères inhabituels.
- Les sous-domaines inattendus.
- Une éventuelle redirection.
- La cohérence entre le domaine et le service annoncé.
4. Analysez l’URL avec VirusTotal
Une fois l’adresse récupérée, VirusTotal peut fournir un signal supplémentaire en analysant l’URL à travers plusieurs moteurs et fournisseurs de sécurité.
Un résultat sans détection ne signifie pas qu’une URL est automatiquement sûre. Un site frauduleux récent peut ne pas encore être connu des différents moteurs.
5. Et si vous avez déjà scanné le QR code ?
Tout dépend de ce qui s’est passé après le scan. Avoir simplement affiché une page ne signifie pas nécessairement que des données ont été compromises.
Vous avez seulement ouvert la page
Fermez-la. Ne téléchargez rien et ne saisissez aucune information.
Vous avez saisi un identifiant
Changez rapidement le mot de passe depuis le véritable site du service concerné. Si ce mot de passe est réutilisé ailleurs, modifiez-le également sur les autres comptes.
Vous avez communiqué des données bancaires
Contactez rapidement votre banque par un moyen officiel et surveillez les opérations de votre compte.
Vous avez téléchargé un fichier
N’exécutez pas le fichier et effectuez une analyse de sécurité de votre appareil.
Le protocole HEXAOS
Face à un QR code inconnu, le principe est simple : ne pas agir automatiquement.
Vérifier le contexte.
Récupérer l’URL.
Vérifier le domaine.
Utiliser les outils adaptés.
Seulement lorsque la destination est cohérente.
Pour les entreprises
Le quishing doit également être intégré aux actions de sensibilisation des collaborateurs. Un QR code présent dans un email, un document ou une communication interne doit être considéré comme un lien potentiel, et non comme un élément automatiquement fiable.
- Sensibiliser les collaborateurs au quishing.
- Apprendre à vérifier les domaines.
- Utiliser l’authentification multifacteur.
- Prévoir une procédure de signalement.
- Former les équipes à réagir après une erreur.
Le réflexe HEXAOS
Un QR code n’est pas un gage de confiance. Décoder, examiner, analyser, puis seulement ouvrir.
Sources
Le quishing exploite un réflexe devenu banal : scanner un QR code sans vérifier sa destination. La bonne pratique consiste à ralentir, décoder lorsque c’est possible, examiner le domaine et analyser l’URL avant de communiquer la moindre information sensible.
Un QR code peut être pratique. Il ne doit jamais remplacer votre vigilance.
