Principaux renseignements

• Le « quishing » transforme un code QR familier en un accès discret à vos données bancaires.
• Qu’il s’agisse d’un remboursement ou d’une amende de stationnement, les fraudeurs dissimulent de plus en plus souvent leurs tentatives de phishing derrière des codes QR.
• Un simple scan suffit pour se retrouver sur un faux site web, mais que se passe-t-il ensuite ?

Le phishing n’est plus un concept inconnu depuis longtemps. De faux e-mails, SMS et appels téléphoniques tentent d’inciter les consommateurs à divulguer leurs mots de passe, leurs coordonnées bancaires ou d’autres informations personnelles. Mais outre le classique « clic sur un lien suspect », une technique continue de gagner en popularité : le « quishing », c’est-à-dire le phishing via un code QR. Business AM fait le point.

Cette technique exploite habilement une technologie désormais omniprésente. Les codes QR sont désormais présents dans les menus de restaurant, les horodateurs, les affiches, les demandes de paiement et, de plus en plus souvent, dans les e-mails. L’essor massif des codes QR pendant et après la pandémie de coronavirus a encore ancré ce réflexe dans les usages, faisant du fait de scanner un code un réflexe presque automatique pour de nombreux utilisateurs. C’est précisément cette familiarité qui les rend intéressants pour les cybercriminels. En effet, un site web malveillant n’est plus visible derrière une URL suspecte, mais dissimulé dans un motif en noir et blanc.

Qu’est-ce que le « quishing » exactement ?

Le terme « quishing » est une contraction de « QR » et de « phishing ». Le principe est simple : un escroc crée un code QR qui renvoie vers un site web, une page de paiement ou toute autre destination contrôlée par l’attaquant.

L’utilisateur scanne le code avec son smartphone et se retrouve alors face, par exemple, à un site web contrefait d’une banque, d’un service public ou d’une autre organisation de confiance. Il est alors invité à saisir ses identifiants de connexion, des informations personnelles ou des données de paiement. Les escrocs ont de plus en plus souvent recours à l’intelligence artificielle pour rendre leurs messages plus crédibles, ce qui rend les fautes de langue classiques ou les formulations illogiques de moins en moins visibles.

Le procédé peut aller plus loin. Un code QR peut rediriger les victimes vers une page de téléchargement proposant des logiciels malveillants. Dans d’autres scénarios, l’utilisateur est directement redirigé vers une application de paiement ou une autre application légitime, où l’attaquant tente de lui faire réaliser une opération frauduleuse.

Pourquoi les codes QR sont-ils si attrayants pour les escrocs ?

Les codes QR sont conçus pour rendre les informations rapidement accessibles. Ils peuvent notamment contenir des URL, des informations de paiement et des coordonnées. Le grand avantage pour l’utilisateur est également celui du fraudeur : la destination n’est pas visible à l’œil nu.

Cela rend un code QR particulièrement adapté pour dissimuler une URL malveillante. Un utilisateur peut souvent reconnaître une adresse web suspecte à un nom de domaine étrange ou à une faute d’orthographe. Avec un code QR, il ne voit dans un premier temps qu’un motif.

Les systèmes de sécurité peuvent eux aussi être mis en difficulté. ESET souligne que les codes QR peuvent contourner certains filtres de sécurité classiques. En effet, un lien malveillant est présenté sous la forme d’une image. De plus, l’interaction peut se déplacer d’un ordinateur d’entreprise bien sécurisé vers un smartphone personnel, sur lequel les mesures de sécurité en place sont potentiellement moins strictes.

Selon le rapport ESET Threat Report H1 2026, au moins 11 pour cent des e-mails de hameçonnage envoyés au cours du premier semestre de cette année contenaient un code QR malveillant. ESET dispose à cet effet d’une couche de détection spécifique qui tente de reconnaître les codes QR dans les fichiers, décode les URL qu’ils contiennent, puis vérifie s’il s’agit de hameçonnage, de logiciels malveillants ou de spam.

Le « quishing » peut se produire aussi bien sous forme numérique que physique

Ceux qui associent le phishing exclusivement aux e-mails négligent une partie du risque. En effet, un code QR peut être placé pratiquement partout.

Parmi les exemples numériques, on peut citer les e-mails, les SMS, les messages via les applications de messagerie instantanée et les réseaux sociaux. Mais les supports physiques sont également possibles : affiches, prospectus, autocollants, lettres, horodateurs ou tout autre endroit où les gens ont l’habitude de scanner un code QR.

Une technique particulièrement sournoise consiste à recouvrir physiquement un code QR existant et légitime par un code frauduleux. L’utilisateur pense par exemple scanner un code officiel de stationnement ou de paiement, alors que l’autocollant le redirige vers un site web du fraudeur. Par ailleurs, les escrocs dissimulent parfois des codes QR dans des pièces jointes au format PDF ou image JPEG, ce qui rend le lien invisible et complique la détection de l’URL malveillante par les filtres de sécurité classiques.

L’arnaque classique : un faux paiement ou un faux remboursement

Une technique couramment utilisée exploite la thématique de l’argent. Le message peut prétendre qu’une facture reste à payer, qu’un paiement a échoué ou, au contraire, que le destinataire a droit à un remboursement.

Un exemple belge récent, signalé par Safeonweb, concernait un prétendu remboursement de plus de 300 euros. Le destinataire était invité à scanner un code QR et à confirmer ses coordonnées bancaires. Le code QR redirigeait ensuite vers un site web falsifié où des informations bancaires, un code PIN ou un code de réponse pour les services bancaires en ligne pouvaient notamment être dérobés.

La conclusion est claire : un message qui vous redirige de manière inattendue vers une page de paiement ou d’identification via un code QR mérite une méfiance particulière.

Le danger ne réside pas seulement dans le vol de données personnelles. Un code QR frauduleux peut mener directement à une fausse page de paiement, sur laquelle les victimes saisissent leurs coordonnées bancaires ou les données de leur carte. Dans d’autres cas, les escrocs tentent de les inciter à effectuer un paiement ou à communiquer un code de sécurité fourni par leur banque.

Une lettre d’apparence officielle

Le « quishing » ne se limite pas aux messages numériques. Une lettre physique peut également être utilisée.

Dans un scénario signalé, les victimes ont reçu une lettre qui semblait provenir d’une banque. Un code QR figurant dans la lettre était censé diriger le client vers un environnement en ligne. En réalité, celui-ci aboutissait sur un faux site bancaire destiné à intercepter des données d’accès sensibles.

Le risque tient ici au contexte. Pour beaucoup de gens, une lettre sur papier semble toujours plus officielle qu’un e-mail inattendu. Mais un code QR ne change pas de nature simplement parce qu’il figure sur papier.

Des réductions aux fausses offres d’emploi

Les fraudeurs peuvent en outre utiliser pratiquement n’importe quel sujet comme prétexte.

Ainsi, les codes QR peuvent servir à proposer de prétendues réductions : après avoir scanné le code, la victime se retrouve sur une fausse boutique en ligne et doit saisir ses informations de paiement. Les billets d’événements fictifs sont également fréquents. Le code semble donner accès à des billets, mais redirige vers une page de paiement frauduleuse.

Une autre variante cible les demandeurs d’emploi. Une offre d’emploi alléchante contient un code QR censé diriger le candidat vers un formulaire de candidature. Le site web qui s’affiche demande alors des informations personnelles ou financières.

La fraude aux colis est également un scénario courant : un message prétend qu’il faut suivre un colis, qu’une livraison rencontre des problèmes ou qu’un petit paiement supplémentaire est nécessaire. Le code QR redirige l’utilisateur vers un faux site web où des données sont collectées ou où un logiciel malveillant peut lui être proposé.

Même le menu d’un restaurant n’est pas automatiquement sûr

La généralisation des codes QR dans la vie quotidienne a rendu cette technologie particulièrement familière. Cela vaut également pour les restaurants.

Un code QR figurant sur un menu peut tout à fait être légitime, mais des criminels peuvent eux-mêmes placer un code frauduleux sur un menu ou un autocollant, souvent à l’insu du restaurant. Après avoir scanné le code, l’utilisateur est par exemple redirigé vers un site web malveillant. L’utilisation généralisée des codes QR depuis la pandémie de coronavirus n’a fait que rendre cette technique encore plus attrayante pour les fraudeurs.

La présence d’un code QR ne constitue en rien une garantie de fiabilité.

À quoi faut-il faire attention ?

La principale mesure de précaution est peut-être aussi la plus simple : ne scannez jamais un QR code sans réfléchir.

Si vous recevez un code QR de manière inattendue par e-mail, SMS ou message instantané, demandez-vous d’abord pourquoi vous devriez le scanner. Un message prétendant que vous devez effectuer un paiement de toute urgence, confirmer vos coordonnées bancaires ou sécuriser votre compte cherche souvent à vous mettre la pression.

Après avoir scanné le QR code, de nombreux smartphones affichent d’abord l’URL vers laquelle renvoie le code QR. Prenez le temps de la vérifier. Le nom de domaine est-il correct ? L’adresse web semble-t-elle cohérente ? Contient-elle des caractères étranges ou des ajouts inattendus ?

Safeonweb recommande par exemple, dans le cas de communications officielles, d’accéder directement au site officiel en saisissant vous-même l’adresse dans le navigateur, plutôt que d’utiliser un code QR provenant d’un e-mail inattendu.

Ne communiquez jamais vos coordonnées bancaires sans raison valable

Un code QR ne change en rien les règles de base pour une banque en ligne sécurisée. Une banque ne vous demandera par exemple jamais de communiquer votre code PIN ou un code issu de votre application bancaire via un code QR inattendu. Si vous recevez une telle demande après avoir scanné un code, vous devez partir du principe qu’il y a quelque chose qui cloche. Si, après avoir scanné le code, on vous demande de saisir votre identifiant, votre mot de passe, les données de votre carte, votre code PIN ou un code provenant de votre application bancaire, arrêtez-vous et vérifiez d’abord via un canal indépendant si la demande est authentique.

Même si le site web a l’air professionnel, cela ne constitue pas une garantie. Les pages de hameçonnage sont de plus en plus convaincantes et peuvent imiter les logos, les couleurs et la mise en page d’organisations réelles.

Cloudflare souligne également dans les documents fournis que les utilisateurs ne doivent pas saisir d’informations personnelles, effectuer de paiements ni télécharger quoi que ce soit après avoir scanné un code QR tant qu’ils n’ont pas vérifié la destination.

Ne vous fiez pas uniquement au code QR

Un code QR suspect est rarement isolé. Le message qui l’entoure peut contenir des indices importants.

Y a-t-il une forte pression temporelle ? Menace-t-on de vous infliger une amende, un blocage ou une perte d’accès ? Vous promet-on un remboursement inattendu ? Vous demande-t-on de sécuriser immédiatement un compte ?

Ce sont là des techniques classiques issues du monde de l’ingénierie sociale. Dans le cadre du « quishing » également, les cybercriminels ne cherchent pas tant à pirater la technologie qu’à convaincre l’utilisateur d’effectuer lui-même l’action souhaitée.

Le fait de s’appuyer sur des marques et des institutions connues rend cette approche encore plus crédible. ESET souligne que les attaquants peuvent utiliser des identités visuelles familières et des services connus, tout en y associant un sentiment d’urgence.

Le « quishing » devient de plus en plus sophistiqué

Le code QR ne mène même pas nécessairement vers un site de phishing classique.

Selon ESET, les codes QR sont également utilisés pour s’emparer de jetons d’authentification multifactorielle (MFA), pour télécharger directement des logiciels malveillants et pour rediriger les utilisateurs vers des applications légitimes qui sont ensuite détournées à des fins frauduleuses. Ainsi, une victime peut par exemple être incitée à authentifier un attaquant via son propre compte ou à confirmer un paiement prérempli dans une application de paiement.

Cela illustre bien pourquoi la simple règle « vérifiez le site web » ne suffit pas toujours. L’action demandée par la suite doit également être examinée d’un œil critique.

Et qu’en est-il du phishing ?

Le « quishing » n’est pas une forme de fraude véritablement nouvelle, mais une nouvelle manière de mettre en œuvre une technique ancienne.

Dans le cadre du phishing, les victimes sont généralement redirigées vers un faux site web par e-mail. Les cybercriminels tentent alors, par exemple, de récupérer des identifiants, des mots de passe ou des coordonnées bancaires. Le message se présente souvent comme une communication émanant d’une organisation de confiance et incite le destinataire à agir rapidement.

Il existe par ailleurs des formes plus ciblées, comme le spearphishing. Dans ce cas, le message est spécifiquement adapté à une personne ou à une organisation, ce qui rend la fraude plus crédible.

Smishing : le phishing par SMS

Dans le cas du smishing, le même principe s’applique via un SMS. Le destinataire reçoit par exemple un message concernant un colis, une facture, un problème bancaire ou toute autre question urgente, généralement accompagné d’un lien.

L’objectif reste de diriger la victime vers un environnement frauduleux ou de lui faire divulguer des informations personnelles. De plus, les petits écrans des smartphones ne permettent pas toujours d’évaluer facilement l’URL dans son intégralité.

Vishing : l’escroc vous appelle

Le vishing, ou « voice phishing », utilise le téléphone comme vecteur.

Le fraudeur se fait par exemple passer pour un employé d’une banque, d’une entreprise technologique ou d’une autre organisation de confiance. Il tente ensuite d’obtenir des informations personnelles ou financières, ou d’amener la victime à effectuer une action spécifique.

Là encore, la pression du temps joue un rôle important. L’appelant peut prétendre que des transactions suspectes ont été détectées et qu’il faut intervenir immédiatement. De plus, des techniques modernes telles que l’usurpation d’identité de l’appelant permettent de rendre un numéro de téléphone plus crédible.

Usurpation d’identité : l’expéditeur n’est pas toujours celui qu’il prétend être

L’usurpation d’identité est différente du hameçonnage, mais y est souvent associée. Il s’agit de falsifier certaines caractéristiques afin qu’une communication semble provenir d’une autre personne.

Dans le cas de l’usurpation d’adresse e-mail, par exemple, les caractéristiques d’un message peuvent être modifiées pour donner l’impression que l’e-mail provient d’un expéditeur légitime. L’usurpation d’URL consiste quant à elle à imiter une adresse web. Cela peut se faire par le biais de fautes d’orthographe subtiles, de domaines trompeurs ou de caractères ressemblant fortement aux lettres d’origine.

D’où l’importance de ne pas se limiter au nom de l’expéditeur.

Retour au quishing : que faire si vous avez tout de même scanné le code ?

Si vous scannez par inadvertance un code QR suspect, vous n’êtes pas forcément victime pour autant. Le risque survient surtout lorsque vous saisissez ensuite des données, effectuez un paiement, installez une application ou effectuez toute autre action suspecte.

Si vous avez saisi des coordonnées bancaires ou d’autres informations sensibles, ou si de l’argent a disparu, il est important d’agir rapidement. Le SPF Économie recommande de contacter la banque dès que possible et, si nécessaire, de faire bloquer les moyens de paiement et les comptes concernés. En cas de fraude financière, il peut également être judicieux de porter plainte auprès de la police et de signaler l’incident aux autorités compétentes.

La règle d’or : prenez le temps de réfléchir

Le « quishing » met en évidence un paradoxe bien connu : plus la technologie nous permet d’accéder rapidement à l’information, plus il est parfois important de prendre le temps de réfléchir.

Scanner un code QR est simple. La vraie question est de savoir ce qui se passe ensuite. Qui vous demande vos données ? Vers quelle adresse web êtes-vous redirigé ? Pourquoi devez-vous payer ou vous authentifier précisément à ce moment-là ? Et ne pouvez-vous pas trouver ces mêmes informations directement sur le site web ou l’application officielle ?

ESET souligne que les organisations peuvent réduire ce risque en combinant sensibilisation, sécurité technique, authentification multifactorielle résistante au phishing, logiciels à jour et un plan d’intervention efficace.

Pour les consommateurs, le principe reste toutefois simple : ne vous fiez pas au code QR, mais vérifiez la destination et l’action qui s’ensuit. Un code QR peut être pratique, mais il ne s’agit en fin de compte que d’un simple contenant d’informations. Et c’est précisément cet « emballage » que les cybercriminels utilisent de plus en plus souvent pour rendre le phishing moins visible.

Que faire si vous avez tout de même effectué un virement ?

Si, après avoir scanné un code QR, vous avez effectué un virement ou communiqué vos coordonnées bancaires, n’attendez pas. Contactez votre banque dès que possible et demandez-lui de vérifier les transactions suspectes. Vérifiez également si votre compte présente d’autres opérations inconnues.

En attendant, conservez le message ou la lettre contenant le code QR, ainsi que l’adresse web vers laquelle vous avez été redirigé. Ces informations peuvent aider à enquêter sur la fraude et à la signaler.

Suivez également Business AM sur Google Actualités

Si vous souhaitez accéder à tous les articles, abonnez-vous ici !