Un QR code se scanne en une seconde et ne montre pas où il mène. C’est exactement ce qu’exploitent les escrocs avec le « quishing », contraction de QR code et de phishing. Selon la fiche « Quishing : méfiez-vous des QR codes ! » du site de prévention ABE Info Service de la Banque de France, cette variante de l’hameçonnage consiste à vous faire numériser un code afin d’accéder à vos données personnelles ou à vos mots de passe. Voici où se cachent ces faux codes, comment les vérifier avant de saisir quoi que ce soit, et comment réagir si vous êtes tombé dans le piège.
Pourquoi le QR code piégé fonctionne si bien
Le ministère de l’Intérieur explique, dans sa fiche sur les cyberattaques par phishing, QR codes et SMS mise à jour le 28 juillet 2026, que les cybercriminels fabriquent de faux QR codes qui imitent un code officiel. Une fois scannés, ils renvoient vers un faux site ou invitent à télécharger un logiciel nuisible, dans le but de voler des données, notamment bancaires. ABE Info Service avance deux raisons à leur efficacité : les QR codes sont plus difficiles à détecter par les filtres anti-spam ou anti-phishing, et les téléphones sont généralement moins bien protégés contre ce type d’attaque.
Où les escrocs placent leurs faux QR codes
- Dans l’espace public : parking, transports, affiche publicitaire, restaurant. Les escrocs impriment leurs codes sous forme d’autocollants qu’ils collent par-dessus les vrais.
- Dans la boîte aux lettres : un faux avis de passage de La Poste annonce une lettre recommandée qui n’aurait pas pu être livrée et demande de scanner un code.
- Dans les courriels : l’escroc se présente comme une administration, une banque ou une autorité comme la Banque de France, l’ACPR ou l’AMF, et menace de bloquer un compte ou d’appliquer une pénalité. ABE Info Service souligne que ces organismes utilisent rarement des QR codes dans leurs courriels.
- Dans les faux placements : après le scan, un formulaire réclame des données personnelles ; l’escroc recontacte ensuite la victime et peut usurper l’identité d’un établissement autorisé.
Avant de scanner : cinq vérifications
- Examiner le support. Un autocollant collé par-dessus un code, sur une affiche ou dans un lieu public, doit éveiller la méfiance, puisque c’est le procédé décrit par ABE Info Service.
- Écarter les codes reçus par courriel ou par SMS. La Banque de France conseille de ne jamais ouvrir un lien ou un QR code reçu de cette façon.
- Lire l’adresse du site vers lequel le code vous redirige, avant toute saisie : elle doit correspondre exactement au site officiel de l’organisme.
- Résister à l’urgence. La règle d’or d’ABE Info Service : ne cédez jamais à la pression, qui doit au contraire vous alerter. Un compte prétendument bloqué ou une pénalité imminente sont des signaux typiques.
- Renoncer au moindre doute. Le ministère de l’Intérieur est clair : au moindre doute, abstenez-vous de scanner. Il conseille aussi de vérifier que les coordonnées affichées sont bien celles de l’organisme visé.
Quelques précautions limitent aussi les dégâts : ne communiquez jamais vos données bancaires à un tiers, ne validez pas sur votre application bancaire une opération que vous n’avez pas initiée vous-même, mettez à jour votre application bancaire et équipez votre téléphone d’un antivirus et d’un pare-feu.
Vous avez scanné, payé ou saisi vos données : les étapes
- Appeler immédiatement votre banque, puis confirmer par écrit, et demander la mise en opposition de vos cartes.
- Contester les débits et demander leur remboursement, comme le prévoit la fiche Service-Public sur l’hameçonnage.
- Changer vos mots de passe, en commençant par ceux que vous avez pu saisir sur le faux site.
- Garder les traces : une capture d’écran de la page frauduleuse et son adresse, utiles pour la suite.
- Porter plainte. En ligne, sur la plateforme THESEE, uniquement si une somme d’argent vous a été demandée, sans qu’un versement soit nécessaire ; sinon via Police Rendez-vous, ou directement dans le commissariat ou la gendarmerie que vous choisissez.
- Signaler le contenu sur PHAROS, comme le recommande ABE Info Service, et le site frauduleux sur Phishing Initiative, dont les experts peuvent obtenir son blocage dans les navigateurs.
Questions fréquentes
Le simple fait de scanner un QR code est-il dangereux ?
Un code piégé peut vous mener vers un faux site ou vous inviter à installer un logiciel nuisible. Le ministère de l’Intérieur recommande donc de vérifier l’adresse du site vers lequel vous êtes redirigé avant d’aller plus loin.
Un QR code dans un courriel de ma banque est-il forcément faux ?
Pas forcément, mais leur usage dans les courriels des banques et des administrations est peu fréquent, et la Banque de France recommande d’éviter de les scanner. Contactez votre banque par un canal sécurisé et connu, comme le numéro de votre agence.
Puis-je porter plainte en ligne pour un quishing ?
Oui, sur THESEE, à condition qu’une somme d’argent vous ait été demandée ; il n’est pas nécessaire d’avoir payé. Dans les autres cas, prenez rendez-vous ou rendez-vous au commissariat ou à la gendarmerie.
Où signaler un faux QR code repéré dans la rue ?
Signalez le site vers lequel il mène sur Phishing Initiative et le contenu frauduleux sur PHAROS. Si vous en avez été victime, le service 17Cyber assiste en ligne les personnes touchées par une cybermalveillance.
Comment protéger mon téléphone ?
Tenez votre application bancaire à jour, installez un antivirus et un pare-feu, et ne notez pas vos mots de passe. Le téléphone étant généralement moins bien protégé contre ce type d’attaque, ces réglages comptent d’autant plus.
Sources
- Cyberattaques : comment déjouer phishing, QR codes et SMS frauduleux — Ma Sécurité (ministère de l'Intérieur), 2026-07-28
- Quishing : méfiez-vous des QR codes ! — ABE Info Service (Banque de France), 2026-10-29
- Hameçonnage (phishing ou vishing) — Service-Public.fr (DILA), 2026-04-10