Un QR code piégé laisse presque toujours des traces physiques. Un autocollant mal aligné, légèrement de travers, ou dont les bords dépassent du support original, c'est le signe le plus simple à repérer. Un QR code officiel imprimé directement sur un panneau plastifié ne se décolle pas d'un coin.

Le message autour du code compte autant que le code lui-même. Une urgence artificielle, « payez dans les 15 minutes », « votre stationnement expire », « réglez immédiatement pour éviter des frais », ce genre de pression temporelle n'a aucune raison d'exister sur un vrai parcmètre ou un vrai menu.

Le troisième signal arrive après le scan, sur la page elle-même :

• Une demande de numéro de carte bancaire complet en première étape, sans confirmation du service concerné
• Un formulaire qui demande un mot de passe ou des identifiants bancaires plutôt qu'un simple paiement
• Une URL qui ne correspond ni au nom de la ville, ni au nom du restaurant, ni à rien de reconnaissable

Sur ce dernier point, la vigilance devient compliquée parce qu'un QR code ne révèle jamais son adresse avant d'être scanné. C'est sa nature même : une image encodée qui cache l'URL jusqu'au moment du décodage par la caméra. Contrairement à un lien envoyé par courriel où on peut survoler avec la souris, un QR code garde son secret jusqu'à la dernière seconde. C'est précisément ce qui en fait un vecteur d'attaque redoutable.

Le réflexe qui sauve

La plupart des téléphones récents affichent un aperçu de l'URL avant d'ouvrir le lien complet. Sur iPhone, l'appareil photo montre l'adresse en petit texte au-dessus du bouton d'ouverture. Sur Android, c'est souvent une bannière similaire selon le modèle et l'application scanner utilisée.

Ce moment d'aperçu, deux secondes à peine, est le seul rempart réellement gratuit contre la sécurité qr code défaillante. Je le vérifie systématiquement maintenant, même pour des codes qui me semblent inoffensifs. C'est devenu un réflexe, comme regarder des deux côtés avant de traverser.

Si l'adresse ne correspond pas au nom de l'entreprise, à la ville, ou au service attendu, je ne clique jamais. Dans le doute, je tape l'adresse officielle manuellement dans le navigateur plutôt que de faire confiance au lien scanné. Ça prend quinze secondes de plus et ça évite des heures de démarches bancaires.

La règle absolue, celle que je n'enfreins jamais : aucune donnée bancaire ne sort de mon téléphone depuis une page ouverte via un QR code inconnu. Pas de numéro de carte, pas de code CVV, pas de mot de passe bancaire. Si le paiement est légitime, il existe toujours une autre voie, l'application officielle de la ville, le site du commerçant tapé à la main, un appel au numéro affiché sur place.

Cette discipline vaut aussi côté commerçant. Un restaurateur qui affiche un QR code générique sans vérifier régulièrement que l'autocollant n'a pas été remplacé prend un risque pour sa clientèle et sa réputation. J'ai détaillé ce point dans mon article sur Interac contre QR code générique en caisse, un choix qui a des implications directes sur la sécurité du client final.

Ce que j'ai changé depuis

Depuis mon incident au parcmètre, j'ai adopté trois habitudes concrètes que je recommande à tout le monde, sans exception.

D'abord, je ne scanne jamais un QR code qui présente une texture différente du support autour. Un autocollant brillant sur un panneau mat, une bordure blanche qui dépasse, une légère surépaisseur au toucher, ce sont des indices tangibles que je vérifie du bout des doigts avant même de sortir mon téléphone.

Ensuite, je privilégie systématiquement les canaux officiels connus quand l'enjeu financier existe. Pour un parcmètre, l'application municipale plutôt que le scan. Pour une amende, le site gouvernemental tapé directement plutôt que le lien reçu par la poste. Le confort du scan ne vaut jamais le risque du paiement compromis.

Enfin, j'ai commencé à signaler les autocollants suspects aux commerces concernés. Un restaurateur, une ville, une entreprise de stationnement, aucun d'eux ne souhaite que ses clients se fassent piéger sur son propre terrain. Signaler prend deux minutes et protège potentiellement des dizaines de personnes après moi.

Ce qui m'a le plus surpris dans cette expérience, c'est de réaliser que la technologie du QR code elle-même n'est jamais en cause. Un QR code légitime, généré correctement, avec une bonne correction d'erreur et affiché sur un support qui ne peut pas être facilement recouvert, reste parfaitement sûr. Le problème vient toujours du support physique et du contexte de diffusion, jamais du code en lui-même. C'est une nuance que je répète souvent aux commerçants qui hésitent encore entre codes statiques et dynamiques, un choix que j'explique plus en détail dans mon comparatif sur QR code statique ou dynamique selon votre usage.

L'action à retenir

La prochaine fois que vous pointez votre téléphone vers un QR code sur un parcmètre, une borne de recharge ou un menu, arrêtez-vous une seconde avant d'appuyer sur « ouvrir ». Regardez l'aperçu de l'URL affiché par votre téléphone. Si le nom ne correspond pas exactement à ce que vous attendiez, fermez l'application et tapez l'adresse à la main.

C'est le seul réflexe qui compte vraiment contre le quishing, et il ne coûte rien.

---

A lire aussi

• Billetterie QR : empêcher le duplicata de scanner deux fois
• QR code en couleur : le point de rupture du scan
• QR code avis Google : le piège des 30 secondes qui tue votre réputation