Introduction | Le petit carré qui mérite un second regard
Les codes QR font désormais partie de la vie quotidienne. Ils apparaissent sur les menus, les horodateurs, les emballages de produits, les avis de livraison, les billets d’événements, les enseignes de magasins, les pages de dons et les manuels d’appareils, et sont fréquemment utilisés dans des activités de sécurité légitimes comme la configuration de l’authentification multifacteur ou la liaison d’appareils. La plupart sont légitimes et utiles. Ils ouvrent un site web, une page de paiement, un formulaire ou un téléchargement d’application en quelques secondes.
Un code QR n’est pas dangereux en soi. Il s’agit simplement d’un moyen rapide et pratique d’ouvrir un lien. Le risque provient de la destination de ce lien et de ce que la page vous demande de faire ensuite. La sécurité des codes QR commence par traiter chaque scan comme vous traiteriez un lien dans un courriel ou un message : utile lorsque cela a du sens, risqué lorsque cela semble inattendu, précipité ou déplacé. Une brève pause avant de scanner un code QR fait partie de la cyberprotection, l’habitude quotidienne de protéger vos comptes, appareils et informations personnelles avant que quelque chose ne tourne mal.
Pourquoi les codes QR sont faciles à faire confiance
Les codes QR éliminent l’effort. Un scan vous mène directement à l’étape suivante. Le problème est que la destination est cachée jusqu’à ce que votre téléphone lise le code. Les escrocs exploitent cet écart, surtout lorsque les gens sont occupés, distraits ou se trouvent dans un endroit où le code semble officiel. Un code sur une enseigne, un emballage ou un kiosque de paiement peut sembler digne de confiance simplement en raison de l’endroit où il apparaît.
De plus, de nombreuses applications et appareils utilisent désormais des codes QR pour connecter des comptes en toute sécurité, approuver des connexions ou configurer des fonctionnalités de sécurité. Des applications comme WhatsApp, Signal, Telegram, Discord et ChatGPT utilisent des codes QR pour lier un nouveau téléphone, une tablette ou un ordinateur à votre compte existant. Dans ces cas, scanner le code ne consiste pas seulement à ouvrir une page web ; cela peut en fait autoriser un appareil à accéder à votre compte.
Les gens sont naturellement enclins à faire confiance à ces codes QR parce qu’ils sont devenus une partie normale et sans friction de la vie quotidienne. La plupart des utilisateurs ne considèrent pas le scan comme une décision de sécurité ; ils le voient comme une étape de configuration rapide et l’approuvent souvent sans grande vérification.
Comment fonctionnent les arnaques par code QR
La plupart des arnaques par code QR sont des arnaques par hameçonnage avec une méthode de diffusion différente. Au lieu de vous demander de cliquer sur un lien, l’escroc vous demande de scanner un code. L’objectif est généralement de collecter des informations personnelles, des identifiants de connexion ou des détails de paiement, ou d’infecter votre appareil. Dans certains cas, la page peut vous inviter à télécharger une application ou un fichier dont vous n’avez pas besoin.
Ces arnaques peuvent se produire dans des espaces physiques et numériques. Un faux code peut être placé sur un code légitime sur un horodateur, une affiche, une table de restaurant ou un kiosque de paiement. Il peut arriver dans un message concernant un problème de livraison, un courriel concernant un problème de compte ou un prospectus laissé à votre porte.
Une version s’appelle le brossage par code QR. Dans cette arnaque, quelqu’un envoie ou place un code QR dans l’espoir que votre curiosité fera le reste. Il peut apparaître à l’intérieur d’un colis non sollicité, sur une carte postale ou dans un message lié à une livraison, un service public, un prix ou un service à domicile.
Dans l’hameçonnage par autorisation de code d’appareil, un attaquant vous incite à approuver son appareil comme s’il s’agissait du vôtre. L’attaquant lance un processus de connexion pour une application, disons Microsoft 365, sur son propre ordinateur, ce qui génère un code QR destiné à connecter un nouvel appareil. Au lieu de l’utiliser lui-même, il vous envoie le code, souvent déguisé en quelque chose de routinier comme une invitation à une réunion ou une demande de vérification de connexion. Lorsque vous scannez le code et approuvez la demande, vous autorisez l’appareil de l’attaquant à accéder à votre compte. Les systèmes de Microsoft délivrent alors à l’attaquant un jeton de connexion valide — essentiellement un « laissez-passer numérique » qui permet à l’attaquant d’accéder à votre compte Microsoft 365 sans avoir besoin de votre mot de passe à nouveau.
Les arnaques par code QR sont en augmentation
Les arnaques par code QR constituent une menace croissante, car les attaquants exploitent de plus en plus la confiance des gens pour voler des identifiants, contourner les protections de sécurité et accéder aux comptes en ligne. Le centre national britannique de signalement des fraudes Action Fraud a reçu 1 386 signalements de personnes ciblées en 2024, contre 100 en 2019. Au cours du quatrième trimestre 2025, l’Anti-Phishing Working Group a signalé que son membre Mimecast a détecté 655 673 codes QR malveillants uniques. Le rapport « Email threat landscape: Q1 2026 trends and insight » de Microsoft montre que les attaques par hameçonnage QR sont passées de 7,6 millions en janvier 2026 à 18,7 millions en mars 2026, soit une augmentation de 146 % d’un trimestre à l’autre.
Le centre de plaintes pour crimes sur Internet du FBI a publié au moins trois avis de service public
sur les codes QR malveillants depuis 2022, et la FTC, le département des transports de New York, Hawaiian Electric, Fort Lauderdale et des organismes d’application de la loi dans plusieurs pays ont tous publié des avis aux consommateurs ces dernières années.
Signes qu’un code QR peut être une arnaque
Un code QR suspect s’appuie généralement sur des tactiques d’arnaque par hameçonnage familières, notamment l’urgence, l’usurpation d’identité ou des demandes qui ne correspondent pas à la situation.
- Soyez prudent si un code QR apparaît dans un colis, un message, un prospectus ou un courriel inattendu. Regardez attentivement s’il semble être imprimé sur un autocollant et placé sur un autre code.
- Prenez le temps d’examiner l’URL qui s’affiche avant de cliquer et ne cliquez pas si l’adresse web semble mal orthographiée, raccourcie ou sans rapport avec l’organisation.
- Soyez particulièrement prudent avec les codes QR qui apparaissent dans des contextes de liaison d’appareils, d’inscription à l’authentification multifacteur ou de connexion sauf si vous avez initié l’action vous-même.
- Procédez avec prudence si la page qu’il ouvre demande des mots de passe, des détails de paiement ou des informations personnelles.
Une règle simple aide : Ne scannez que les codes QR que vous attendiez et qui proviennent directement d’un service ou d’un appareil de confiance que vous avez initié vous-même. Si le résultat ne correspond pas à la raison pour laquelle vous avez scanné, ARRÊTEZ ! Un menu ne devrait pas demander vos identifiants bancaires. Un avis de livraison ne devrait pas exiger d’informations sensibles avant d’afficher des détails de base.
Comment pratiquer la sécurité des codes QR
Vous n’avez pas besoin d’éviter complètement les codes QR. L’objectif est de développer quelques habitudes de sécurité qui deviennent automatiques.
- Utilisez l’appareil photo intégré de votre téléphone plutôt que de télécharger un scanner QR tiers.
- Regardez l’aperçu de l’URL sur votre téléphone pour vous assurer que l’adresse web correspond au site web que vous vous attendez à visiter. Si le domaine ne correspond pas, arrêtez.
- Activez l’authentification multifacteur sur tout ce qui la prend en charge, ou les clés d’accès qui sont désormais largement prises en charge sur les principales plateformes.
- Maintenez votre téléphone et vos applications à jour. Les protections du navigateur et du système d’exploitation fonctionnent mieux sur les versions actuelles.
Lorsque de l’argent, des mots de passe ou des informations personnelles sont en jeu, prenez le chemin le plus long. Saisissez le site web officiel dans votre navigateur, ouvrez directement l’application de l’entreprise ou utilisez un numéro de téléphone dont vous savez qu’il est réel. Maintenez votre appareil à jour, utilisez des mots de passe robustes et activez l’authentification multifacteur pour les comptes importants.
Pour plus d’aide sur ces bases, la boîte à outils de cybersécurité GCA pour les particuliers gratuite propose des étapes faciles à suivre pour renforcer les mots de passe, sécuriser les appareils et réduire les risques cyber courants.
Que faire si vous pensez avoir scanné un code QR malveillant
Tout d’abord, ne paniquez pas. Ce que vous faites ensuite dépend de ce qui s’est passé après le scan.
Si vous avez seulement ouvert une page web et n’avez pas saisi d’informations, fermez l’onglet. Si vous avez saisi un nom d’utilisateur ou un mot de passe, changez ce mot de passe immédiatement. Activez l’authentification multifacteur ou créez une clé d’accès si disponible.
Si vous avez saisi des détails de paiement, contactez votre banque ou votre fournisseur de carte de crédit et surveillez vos comptes pour détecter des frais inhabituels. Si vous avez téléchargé une application ou un fichier, supprimez-le, examinez les autorisations que vous avez accordées et mettez à jour le système d’exploitation de votre téléphone s’il n’est pas à jour. Enregistrez les captures d’écran, les messages, les reçus ou les adresses web liés à l’incident. Ces détails peuvent être utiles si vous devez signaler l’arnaque.
Si des informations personnelles ont pu être exposées, envisagez de vérifier votre rapport de crédit, de placer une alerte à la fraude ou de geler votre crédit. Signaler l’incident peut également aider à protéger d’autres personnes de la même tactique.
À retenir | La meilleure protection est une pause avant de scanner
Les codes QR sont conçus pour faciliter la vie, et la plupart le font. Le but n’est pas de rendre chaque scan suspect. Il s’agit d’arrêter de faire automatiquement confiance aux choses scannables.
Les escrocs comptent sur l’élan. Ils veulent le tapotement rapide, le paiement précipité, le réflexe de suivre les instructions parce que le code semble ordinaire. Votre meilleure défense est la petite pause entre voir un code QR et agir en conséquence.
C’est dans cette pause que réside la sécurité cyber. C’est là que vous remarquez l’autocollant qui n’a pas sa place, l’adresse web qui semble étrange ou la demande que vous n’attendiez pas. Scannez lorsque la source a du sens. Arrêtez lorsque ce n’est pas le cas. Quelques secondes de prudence peuvent protéger votre argent, vos comptes et la confiance dont vous avez besoin pour naviguer en toute sécurité dans le monde numérique.
