Vous avez scanné un QR code sur un parcmètre, une borne de recharge, une affiche, un courrier ou une facture. La page qui s'est ouverte vous a demandé de payer, ou de vous identifier.
Ce scénario porte un nom — le quishing — et il progresse rapidement pour une raison simple : tous les conseils de prudence qu'on a appris ne fonctionnent pas dessus.
Pourquoi c'est efficace
Depuis des années, on répète : « vérifiez le lien avant de cliquer », « regardez le domaine ». Ces conseils supposent qu'on puisse voir la destination.
Un QR code ne montre rien. C'est un motif illisible pour un œil humain, et on ne découvre où il mène qu'une fois la page ouverte — c'est-à-dire trop tard pour décider.
Deuxième avantage pour l'escroc : le support physique inspire confiance. Un autocollant collé sur un vrai parcmètre, dans une vraie rue, bénéficie de la crédibilité de l'objet qui le porte. Personne ne soupçonne le mobilier urbain.
Troisième : les filtres anti-phishing des messageries analysent les liens, pas les images. Un QR code dans une pièce jointe passe souvent sans encombre.
Les terrains les plus fréquents
- Parcmètres et bornes de recharge — un autocollant recouvre le vrai code
- Courriers administratifs imitant les impôts, l'Assurance maladie ou l'ANTAI. C'est l'objet de notre édition de L'arnaque du mois sur le faux courrier des impôts à QR code
- Faux avis de passage dans la boîte aux lettres
- Menus et terrasses de restaurant
- Colis non commandés contenant un QR code « pour savoir qui vous l'a envoyé »
Quoi faire selon ce que vous avez saisi
Vous avez seulement ouvert la page. Fermez-la, rien de plus. L'ouverture seule ne compromet pas un téléphone à jour.
Vous avez payé. Faites opposition immédiatement, puis contestez le débit. Votre banque doit vous rembourser : voir notre article sur l'opposition et celui sur le remboursement. Surveillez aussi les petits montants récurrents dans les semaines qui suivent.
Vous vous êtes identifié. Changez ce mot de passe, et partout où vous l'utilisiez aussi. Activez la double authentification sur les comptes concernés.
Vous avez installé une application. Coupez la connexion, désinstallez, et considérez l'appareil comme suspect jusqu'à vérification.
Dans tous les cas : 17Cyber.gouv.fr pour être orienté, et une plainte si de l'argent est parti.
Le réglage qui change tout
C'est la partie la plus utile de cet article, et elle prend trente secondes.
Configurez votre téléphone pour qu'il affiche l'adresse avant de l'ouvrir.
Sur iPhone comme sur Android, l'appareil photo affiche par défaut une notification contenant le début de l'URL avant que vous n'appuyiez dessus. Prenez l'habitude de la lire au lieu de tapoter automatiquement. Si vous ne voyez pas cette prévisualisation, la plupart des applications de scan dédiées proposent un réglage « afficher l'URL avant ouverture » — activez-le.
Cela restitue exactement l'information que le QR code vous cachait, et remet le réflexe classique en état de marche.
Le réflexe à garder
Un QR code qui demande de payer ou de se connecter n'est jamais le bon chemin.
Pour un stationnement, ouvrez l'application que vous utilisez d'habitude. Pour les impôts, tapez impots.gouv.fr. Pour une amende, passez par antai.gouv.fr. Pour une facture, connectez-vous à votre espace client habituel.
Un QR code légitime vous fait gagner quelques secondes. Il n'est jamais le seul moyen d'accéder à un service — et dès qu'il le prétend, c'est le signal.
Et sur un support public, passez le doigt sur le code : un autocollant collé par-dessus se sent immédiatement.
Vous seriez-vous méfié ? Notre test anti-phishing gratuit vous confronte à 5 messages réels en une minute, sans compte.