Le quishing — contraction de « QR » et de « phishing » — est une arnaque où un QR code vous envoie vers une fausse page de paiement, un faux formulaire de connexion ou un téléchargement piégé au lieu de la destination légitime qu'il imite. Comme un QR code cache son lien jusqu'au scan, la défense est simple : prévisualisez le lien, vérifiez le domaine, et ne saisissez jamais de mot de passe ni de données bancaires après un scan inattendu.
Qu'est-ce que le quishing, et pourquoi ça marche
Un QR code n'est rien de plus qu'un raccourci : un motif de points qui encode un texte, le plus souvent une adresse web. Votre téléphone décode ce texte et propose de l'ouvrir. Le problème, c'est qu'on ne lit pas des points à l'œil nu : vous ne voyez jamais où mène un code avant qu'il ne soit déjà sur votre écran.
Les escrocs exploitent deux ressorts. D'abord l'habitude : scanner un menu, un panneau de stationnement ou une affiche devient un geste machinal, et le geste machinal fait cesser de réfléchir. Ensuite la confiance empruntée : un code collé sur un mur, une lettre ou une facture semble officiel, alors que n'importe qui peut en générer un gratuitement en quelques secondes. Le mot quishing combine simplement « QR » et « phishing » — les mêmes manoeuvres que dans les faux e-mails, livrées cette fois via un autocollant carré.
Les arnaques au quishing les plus courantes
Faux autocollants sur de vrais codes. La version classique vise le stationnement payant par téléphone. L'escroc imprime son propre QR code sur un autocollant et le colle par-dessus le véritable, sur un horodateur ou un panneau. Le conducteur scanne, atterrit sur une copie convaincante du site de paiement, saisit ses coordonnées bancaires, et l'argent — comme les données de la carte — part chez l'escroc. La même manoeuvre existe sur les bornes de recharge, les vélos et trottinettes en libre-service, les tables de restaurant, les affiches de dons et les cagnottes.
Codes dans les e-mails et les courriers. Un QR code dans un e-mail est le plus souvent une image, ce qui laisse moins de texte à analyser pour les filtres anti-spam. Le courrier papier fonctionne de la même façon : « votre compte va être clôturé », « votre colis n'a pas pu être livré », « un remboursement vous est dû — scannez pour le réclamer ». Le format lettre ajoute de l'autorité ; le QR code cache le lien.
Demandes de paiement urgentes. Beaucoup de messages de quishing appuient sur les mêmes boutons que le phishing classique : une amende à régler tout de suite, un colis retenu en dépôt, un compte suspendu. L'urgence existe pour vous empêcher de vérifier.
Un scan peut aussi faire plus qu'ouvrir une page. Selon son contenu, il peut ouvrir une application de paiement avec le bénéficiaire prérempli, ajouter un contact ou un événement d'agenda, lancer un téléchargement, ou connecter votre téléphone à un réseau Wi-Fi. Chacune de ces actions peut être détournée.
Prévisualisez le lien avant de l'ouvrir
La plupart des téléphones récents affichent la destination sous forme de bannière ou de notification quand vous scannez avec l'appareil photo intégré — rien ne s'ouvre avant que vous touchiez l'écran. Cette prévisualisation est tout l'enjeu : lisez-la à chaque fois, même pressé.
Sur beaucoup de téléphones, un appui long sur l'aperçu déploie l'adresse web complète, ce qui vaut la peine dès qu'un lien semble raccourci ou bizarre. Si une application scanner ouvre le navigateur automatiquement, ou lance un téléchargement sans demander, remplacez-la. Un scanner qui affiche toujours le lien en premier — comme le scanner gratuit de QRCodeMax.Vip — remet la décision entre vos mains.
Une dernière habitude : pour tout ce qui touche à l'argent ou à une connexion, oubliez le scan et ouvrez l'application officielle ou tapez l'adresse que vous connaissez déjà. Un QR code est un confort, jamais une nécessité.
Vérifier un domaine en quelques secondes
Une adresse web ne comporte qu'une partie qui compte : le domaine, les mots situés juste avant la première barre oblique simple. Dans pay.meters.example.com, le domaine est example.com. Dans example.com.meters-pay.info, le domaine est meters-pay.info — le « example.com » du début n'est qu'un habillage. Les escrocs comptent sur une lecture de gauche à droite qui s'arrête au mot familier.
Cherchez ensuite les imitations : un zéro à la place d'un « o », « rn » qui remplace un « m », des tirets en trop, ou une marque connue collée à une terminaison sans rapport. Les organisations légitimes utilisent un petit nombre de domaines de paiement ; un autocollant de stationnement qui pointe vers un domaine jamais vu est une raison suffisante de s'arrêter.
Si le domaine ne vous dit rien, ne payez pas, ne vous connectez pas, ne téléchargez pas. Fermez la page.
Se méfier de l'urgence — et ne jamais saisir d'identifiants après un scan inattendu
L'urgence est le signal d'alerte le plus bruyant. Les vraies amendes, les vraies livraisons et les vrais problèmes de compte n'expirent pas en trente minutes, et aucune organisation sérieuse n'a besoin de votre mot de passe en urgence. Tout message qui menace d'une amende, d'une mise en fourrière, d'un colis perdu ou d'un compte fermé si vous ne scannez pas et ne payez pas immédiatement doit être traité comme hostile tant que le contraire n'est pas prouvé.
La règle qui vous protège de presque toutes les issues du quishing : après un scan inattendu, ne saisissez jamais de mot de passe, de numéro de carte ni de code à usage unique. Regarder la page, oui ; taper, non. Si vous devez vraiment régler un stationnement ou une facture, passez par l'application ou le site que vous utilisez habituellement, pas par celui qu'un autocollant vous a tendu.
Avant de confirmer un paiement ouvert par un scan, vérifiez le nom du bénéficiaire et le montant — les paiements par QR code peuvent arriver préremplis, et l'arnaque se cache dans le préremplissage. Et n'installez jamais d'application ni n'accordez d'autorisation parce qu'un QR code vous le demande.
Repérer les autocollants falsifiés et les emplacements suspects
Les arnaques physiques laissent des indices physiques. Avant de scanner un code dans l'espace public, accordez-lui deux secondes d'attention :
- bords qui se décollent, bulles, ou autocollant posé sur une étiquette imprimée ;
- impression plus nette, plus floue ou d'une couleur différente du panneau autour ;
- un code placé là où il n'a rien à faire, comme un code de paiement sur un lampadaire ;
- un autocollant qui recouvre une partie du texte d'origine ou d'un autre code.
Comparez le code avec l'adresse web éventuellement imprimée à côté en clair ; une incohérence est un signal d'alerte clair. Si quelque chose cloche, ne scannez pas — payez autrement et signalez la falsification à l'exploitant, en utilisant le numéro de téléphone imprimé sur la machine ou le panneau, jamais un numéro fourni par l'autocollant lui-même.
Utilisez un scanner qui affiche le lien d'abord
L'appareil photo intégré de votre téléphone est généralement le bon outil : il prévisualise le lien et n'installe rien de lui-même. Quel que soit le scanner utilisé, trois critères comptent. Il doit afficher la destination avant d'ouvrir quoi que ce soit, ne jamais télécharger automatiquement de fichiers, et provenir d'une source de confiance plutôt que d'un référencement inconnu dans une boutique d'applications.
Gardez aussi le système d'exploitation et le navigateur de votre téléphone à jour ; les navigateurs récents reconnaissent nombre de pages de phishing connues et avertissent. Ce filet de sécurité aide mais ne garantit rien — une fausse page sur un domaine tout neuf peut ressembler à s'y méprendre à la vraie, et c'est pourquoi lire le domaine compte plus que n'importe quel outil.
Si votre entreprise utilise des QR codes
Chaque code que vous imprimez est une promesse, et un autocollant substitué la transforme en attaque contre vos clients. Quelques habitudes préservent cette promesse :
- Désignez un responsable pour chaque code physique et vérifiez les plus à risque — stationnement, paiements, machines sans surveillance — selon un calendrier régulier.
- Utilisez des QR codes gérés ou « dynamiques » qui passent par un domaine court et stable que vous contrôlez, afin qu'une destination compromise puisse être modifiée ou coupée en quelques minutes au lieu d'obliger à réimprimer chaque affiche.
- Imprimez le domaine de destination en clair à côté de chaque code. Les clients peuvent ainsi vérifier où mène un code, et un autocollant qui recouvre ce texte devient immédiatement suspect.
- Évitez les liens courts aléatoires qui masquent la destination ; si vous raccourcissez, utilisez votre propre domaine.
- Placez les codes là où le personnel peut les voir, ou protégez-les par un boîtier inviolable, et considérez tout code sur une surface extérieure non surveillée comme un risque permanent.
- Expliquez aux clients comment vous demandez — et ne demanderez jamais — un paiement, et formez le personnel à traiter les QR codes dans les e-mails avec la même méfiance que les liens.
Enfin, vérifiez régulièrement que chaque code publié mène toujours à la page prévue. Découvrir une substitution grâce à un client est la pire façon d'apprendre la nouvelle.
L'essentiel à retenir
Un QR code n'est qu'un lien déguisé : traitez-le exactement comme un lien envoyé par un inconnu — prévisualisez-le, lisez le domaine, refusez l'urgence, et ne saisissez jamais de mot de passe ni de données bancaires après un scan inattendu. Deux secondes de pause avant de toucher l'écran déjouent presque toutes les arnaques au quishing.