Quishing : comment reconnaître un QR code frauduleux

Qu'est-ce que le quishing ?

Le mot vient de « QR » et « phishing » (hameçonnage). Le principe est ancien, le support est nouveau : au lieu d'un lien dans un email, l'escroc utilise un QR code. L'avantage pour lui est double. Le lien reste invisible tant qu'on n'a pas scanné, et une image échappe à une partie des filtres anti-hameçonnage des messageries, qui analysent le texte des liens.

Le phénomène est mesuré surtout par des éditeurs de sécurité, dont les chiffres sont à prendre comme des données d'éditeur. Keepnet Labs estime qu'environ 12 % des attaques d'hameçonnage contenaient un QR code en 2025, et cite une hausse de 331 % sur un an relevée par Cofense entre 2023 et 2024.

Pourquoi les QR codes attirent-ils les escrocs ?

Trois raisons. D'abord, le lien est invisible : sur un email, on peut survoler un lien et lire l'adresse ; sur un QR code imprimé, on ne voit qu'un motif. Ensuite, le geste est devenu banal : depuis 2020, on scanne pour lire un menu, payer un parking, s'enregistrer à un événement, sans y penser. Enfin, le scan se fait sur le téléphone, souvent moins protégé qu'un ordinateur de bureau, avec un petit écran où une adresse trompeuse passe plus facilement inaperçue.

Les faux sites imitent très bien les vrais : logo de la commune, couleurs de l'opérateur de stationnement, formulaire de carte bancaire familier. La seule différence visible est souvent l'adresse, d'où l'importance de la lire.

Où trouve-t-on de faux QR codes ?

• Horodateurs et bornes de recharge : un sticker collé par-dessus le vrai code mène à une fausse page de paiement. Cybermalveillance.gouv.fr a publié une alerte sur ces pratiques.
• Emails : faux avis de colis, de facture ou de sécurité de compte, avec un QR code « pour vérifier ».
• Courrier et colis non commandés : la FTC américaine (janvier 2025) et le FBI (juillet 2025) ont signalé des colis inattendus contenant un QR code « pour savoir qui l'envoie ».
• Tables de terrasse, affiches, flyers : un faux code par-dessus celui du commerçant.

Comment vérifier un QR code avant de l'ouvrir ?

1. Regarde le support : un sticker collé par-dessus un autre, mal aligné, sur un équipement public, doit t'alerter.
2. Lis le domaine dans la bannière de ton téléphone avant de toucher. Il doit correspondre à la commune, à l'opérateur ou à la marque attendue, sans faute d'orthographe.
3. Méfie-toi des raccourcisseurs (bit.ly, tinyurl…) sur un support officiel : ils masquent la destination.
4. Refuse l'urgence : « votre stationnement expire », « votre compte sera bloqué » sont des leviers classiques.
5. Paie par l'application officielle plutôt que par une page ouverte depuis un QR code sur la voie publique.

Le scanner en ligne QRTada affiche le contenu d'un code et analyse le lien (domaine, chiffrement, raccourcisseur) sans l'ouvrir. Utile pour un code reçu par email sur ton ordinateur.

Former ton équipe et tes proches

La meilleure protection reste un réflexe partagé. En entreprise, ajoute les QR codes aux sensibilisations à l'hameçonnage : un email qui demande de scanner un code pour « réactiver un compte » ou « signer un document » doit être traité comme un lien suspect. En famille, explique aux proches moins à l'aise qu'un QR code n'est ni une garantie ni un danger en soi : c'est un lien, et on vérifie un lien avant de payer. Une règle simple aide : jamais de paiement ni de mot de passe sur une page ouverte depuis un QR code trouvé dans la rue.

Que faire si tu as saisi tes données ?

• Carte bancaire : fais opposition immédiatement auprès de ta banque, puis surveille tes relevés.
• Mot de passe : change-le partout où tu l'utilises, et active la double authentification.
• Signalement : signale l'arnaque sur Cybermalveillance.gouv.fr, et le faux sticker à la commune ou à l'opérateur concerné.
• Plainte : si tu as subi un préjudice, dépose plainte ; garde des captures de la page et du code.

Comment protéger tes propres QR codes ?

Si tu affiches des QR codes dans un lieu public, tu peux rendre la fraude plus difficile et plus visible :

Chez QRTada, chaque destination est vérifiée contre des listes de sites malveillants à la création et à chaque modification, et les codes signalés sont bloqués après examen. Le domaine personnalisé est inclus dans l'offre Pro. Le glossaire résume le quishing en une page.