Un autocollant collé sur un horodateur, une fausse étiquette de livraison, un flyer glisse sous l’essuie-glace : le « quishing » — l’hameçonnage par QR code — s’est banalisé ces derniers mois. Le principe est simple et redoutablement efficace : remplacer un QR code légitime par un faux, qui redirige vers un site piégé conçu pour voler vos données bancaires. Voici comment le repérer avant de scanner.
Qu’est-ce que le quishing, concrètement ?
Le mot vient de la contraction de « QR code » et « phishing » (hameçonnage). Le mécanisme est identique à un e-mail de phishing classique : une page web imite un site officiel (banque, service postal, administration) pour vous pousser à saisir vos identifiants ou vos coordonnées de carte. La différence, c’est le vecteur : au lieu d’un lien cliquable dans un e-mail, l’arnaque passe par un QR code physique ou numérique. Impossible de « survoler » un QR code du regard pour vérifier où il mène — il faut le scanner pour le savoir, ce qui le rend plus difficile à déjouer qu’un lien texte.
Les scénarios les plus fréquents
1. Le faux horodateur de parking
Un autocollant avec QR code est collé par-dessus celui, officiel, d’une borne de stationnement. Vous scannez pour payer votre place — et atterrissez sur un faux site de paiement qui capture vos données de carte bancaire.
2. La fausse étiquette de colis
Une étiquette prétendument envoyée par un service de livraison indique qu’un colis n’a pas pu être remis et invite à scanner un QR code pour « reprogrammer la livraison » — menant à un site de phishing ou au téléchargement d’une application malveillante.
3. Le faux menu de restaurant
Un autocollant QR code est apposé sur la table par-dessus le vrai menu numérique de l’établissement, redirigeant vers un site cloneur déguisé en formulaire de commande ou de paiement.
4. Le QR code dans un e-mail ou un courrier
De faux courriers prétendument envoyés par une administration ou une entreprise conseillent de « scanner ce QR code pour régulariser votre situation » — une variante du phishing classique, simplement encodée différemment pour éviter les filtres anti-spam qui repèrent les liens texte suspects.
Comment repérer un QR code piégé
- Inspectez le support : un autocollant qui dépasse, se décolle ou change de texture par rapport au reste de l’affichage est suspect
- Lisez l’adresse avant de confirmer : la plupart des téléphones affichent l’URL cible avant d’ouvrir le lien — prenez toujours cette demi-seconde pour la lire
- Méfiez-vous de l’urgence : « dernier avis avant mise en fourrière », « colis en attente », « compte suspendu » sont des formulations conçues pour vous faire agir sans réfléchir
- Vérifiez le nom de domaine : fautes d’orthographe, extension inhabituelle (.info, .xyz à la place de .ch) ou nom sans rapport avec l’organisme annoncé sont des signaux d’alerte
- Privilégiez l’application officielle : pour payer un parking ou suivre un colis, utilisez l’app officielle plutôt qu’un QR code trouvé dans l’espace public
Que faire si vous avez déjà scanné un QR code piégé ?
- Ne saisissez aucune donnée si vous avez un doute une fois sur la page — fermez simplement l’onglet
- Si vous avez déjà entré des coordonnées bancaires, contactez votre banque immédiatement pour bloquer la carte
- Si vous avez installé une application depuis ce lien, désinstallez-la et faites vérifier votre téléphone
- Signalez l’incident à l’OFCS sur report.ncsc.admin.ch et, si un autocollant physique est en cause, prévenez la commune ou l’exploitant du parking
Le QR code n’est qu’un format — ni plus ni moins fiable qu’un lien classique. La règle reste la même que pour tout e-mail ou SMS suspect : on vérifie avant de cliquer, jamais l’inverse. Si votre appareil a été compromis suite à une arnaque, contactez CyberClinique pour un diagnostic de sécurité gratuit.
FAQ — Arnaque QR code (quishing) : vos questions fréquentes
Qu’est-ce que le « quishing » ?
C’est une arnaque par QR code : contraction de « QR code » et « phishing » (hameçonnage). Le principe est identique au phishing classique par e-mail, sauf que le lien piégé est caché dans un QR code plutôt que dans un message. Comme on ne peut pas « survoler » un QR code pour voir où il mène avant de scanner, il est plus difficile à repérer qu’un lien texte.
Comment savoir si un QR code dans la rue est truqué ?
Vérifiez si l’autocollant semble collé par-dessus un QR code d’origine : bords qui dépassent, relief au toucher, légère différence de teinte ou de matière avec le support. Sur un horodateur officiel, le QR code fait normalement partie de l’appareil lui-même et non d’un autocollant rapporté.
J’ai scanné un QR code suspect et entré mes coordonnées bancaires, que faire ?
Contactez immédiatement votre banque pour faire opposition sur votre carte ou bloquer les transactions en cours. Déposez ensuite plainte auprès de la police et signalez l’incident à l’OFCS sur report.ncsc.admin.ch. Si vous avez installé une application depuis ce lien, faites vérifier votre téléphone par un professionnel.
Les QR codes officiels (factures QR-facture, TWINT) sont-ils dangereux ?
Non, un QR code n’est pas dangereux en lui-même — c’est simplement un format qui encode une information, comme un lien ou des données de paiement. Le risque vient uniquement du contexte : un QR code affiché sur votre propre facture ou dans l’app TWINT officielle est fiable ; un autocollant apposé sur un objet dans l’espace public mérite une vérification avant d’être scanné.
Existe-t-il une application pour vérifier un lien avant de l’ouvrir ?
La plupart des smartphones récents affichent l’adresse du lien avant de l’ouvrir lorsque vous scannez un QR code avec l’appareil photo natif — lisez toujours cette adresse avant de confirmer. En cas de doute sur une adresse inhabituelle (fautes, caractères étranges, domaine qui n’a rien à voir avec l’organisme annoncé), ne l’ouvrez simplement pas.