Un simple QR code peut-il vider votre compte bancaire ?

Le QR code n’aspire pas directement votre argent

Scanner un QR code ne vide pas un compte bancaire par magie. Le danger vient de l’adresse cachée derrière le carré : elle peut conduire vers une copie de site bancaire, une fausse page de paiement ou le téléchargement d’une application malveillante. Cette arnaque est appelée « quishing », contraction de QR code et phishing.

Les fraudeurs collent parfois leur propre QR code sur un horodateur, une borne de recharge, une affiche ou un avis de passage. Ils en envoient aussi par courriel ou courrier en inventant une amende, un colis ou un remboursement urgent.

Pourquoi cela fonctionne

Avec un lien classique, on peut lire l’adresse avant de cliquer. Un QR code cache cette adresse. Le téléphone affiche normalement un aperçu : c’est précisément le moment de s’arrêter. Une page peut ressembler parfaitement à celle d’une banque tout en appartenant à un inconnu.

Les vérifications avant de continuer

• Demandez-vous si ce QR code était attendu et qui l’a placé.
• Regardez s’il s’agit d’un autocollant posé par-dessus un autre code.
• Lisez le nom de domaine affiché avant d’ouvrir : fautes, lettres ajoutées ou adresse étrange sont des alertes.
• Pour payer une amende, un stationnement ou consulter votre banque, ouvrez vous-même l’application officielle ou tapez l’adresse connue.
• N’installez jamais une application proposée par un QR code inattendu.
• Un cadenas signifie seulement que la connexion est chiffrée, pas que le site est honnête.

Si vous avez seulement scanné

Si vous n’avez rien saisi, rien téléchargé et n’avez accordé aucune permission, fermez la page. Effacez un éventuel téléchargement. Surveillez le téléphone si une application s’est installée ou si le navigateur vous a demandé des autorisations inhabituelles.

Si vous avez donné des informations

1. Contactez immédiatement votre banque par son numéro officiel et faites opposition si une carte a été exposée.
2. Changez le mot de passe concerné depuis un appareil sain, ainsi que partout où il était réutilisé.
3. Activez la double authentification quand elle existe.
4. Conservez captures d’écran, adresse du site, messages et opérations.
5. Signalez le site sur la plateforme officielle appropriée et déposez plainte en cas de préjudice.

À retenir

Le QR code n’est qu’un raccourci. La bonne habitude consiste à traiter l’adresse qu’il révèle comme n’importe quel lien reçu d’un inconnu : vérifier la source, éviter l’urgence et passer par l’application officielle pour toute opération sensible.

Sources

• Cybermalveillance.gouv.fr, « Quishing : l’hameçonnage par QR code » : cybermalveillance.gouv.fr