Arnaques au QR code : ce que dit la recherche

En bref

• Imprimez des codes qui ouvrent une adresse que vos clients reconnaissent, idéalement votre propre site web.
• Imprimez les codes directement sur le support, pas sur des autocollants, et vérifiez qu’aucun autocollant ne recouvre les codes publics.
• Avant d’ouvrir un code scanné, lisez l’adresse que votre appareil photo affiche.

Les e-mails avec QR code ont piégé autant que les liens

L’hameçonnage (phishing) désigne de faux messages qui envoient les gens vers un faux site web. L’hameçonnage par QR code, ou quishing, fait la même chose avec un QR code au lieu d’un lien.

En 2025, une équipe de l’Université du Liechtenstein dirigée par Marie Weinz a testé l’hameçonnage dans de vraies organisations. Elles allaient de la petite entreprise à la multinationale. Elle a envoyé plus de 71 000 e-mails de test. Certains contenaient un lien normal, d’autres un QR code.

Les e-mails avec QR code ont mené les gens vers la fausse page à peu près aussi souvent que les e-mails avec lien. Les auteurs notent que les e-mails avec QR code sont aussi plus difficiles à repérer pour les filtres, car l’adresse se trouve dans une image. L’article a été présenté à la conférence de sécurité AsiaCCS 2025.

Deux études antérieures vont dans le même sens. En 2022, Sharevski et ses collègues ont fait scanner à 173 personnes un faux QR code de passe COVID-19. 67 % étaient prêtes à s’inscrire avec leur compte Google ou Facebook, et la commodité était la raison la plus citée. En 2024, Geisler, Pöhn et Hommel ont posé de fausses affiches de sondage sur un campus de recherche allemand. Une affiche plus professionnelle, qui offrait aussi un prix, a été scannée presque trois fois plus souvent qu’une affiche simple.

Si vous imprimez des QR codes

Les gens peuvent vérifier une adresse qu’ils reconnaissent. Votre propre site web est le plus facile à reconnaître.

• Montrez votre propre adresse quand c’est possible. Un code statique ouvre directement votre adresse web. Avec QR Lasts Pro, les codes dynamiques peuvent aussi utiliser votre propre domaine.
• Imprimez sur le support. Un code imprimé sur un panneau est plus difficile à recouvrir qu’un autocollant.
• Vérifiez les codes dans les lieux publics. Sur les tables, les affiches et les portes, regardez de temps en temps si un autocollant recouvre votre code.
• Dites où mène le code. Une ligne sous le code comme « Ouvre yourshop.com/menu » permet aux gens de vérifier avant de l’ouvrir.

Comment vérifier un code avant de l’ouvrir

1. Lisez d’abord l’adresse. La plupart des applications photo l’affichent avant de l’ouvrir.
2. Trouvez le nom du site. Lisez l’adresse jusqu’au premier / simple, puis regardez les deux dernières parties. Dans parking-city.example.com.pay-now.ru/pay, le site est pay-now.ru. Pour les adresses en .co.uk et similaires, regardez les trois dernières parties.
3. Méfiez-vous des codes qui demandent de vous connecter ou de payer. Les services de stationnement, de banque et de livraison permettent en général de payer dans leur application ou sur leur site. Vous pouvez les ouvrir vous-même.
4. Tâtez la surface pour repérer un autocollant sur les horodateurs et les affiches avant de scanner.
5. Ne scannez pas les codes d’e-mails que vous n’attendiez pas. Allez plutôt directement sur le service.

Comment QR Lasts aide

Les codes statiques ouvrent votre propre adresse, sans rien entre les deux. Chaque code créé ici, gratuit ou payant, continue de rediriger. Nous n’arrêtons un code que pour abus, comme une destination que Google Web Risk signale comme de l’hameçonnage ou des logiciels malveillants.

Sources

• Weinz, Zannone, Allodi, Apruzzese, The Impact of Emerging Phishing Threats: Assessing Quishing and LLM-generated Phishing Emails against Organizations, AsiaCCS 2025.
• Sharevski et al., Gone Quishing: A Field Study of Phishing with Malicious QR Codes, 2022.
• Geisler, Pöhn, Hommel, Hooked: A Real-World Study on QR Code Phishing, 2024.

Si nous avons mal lu une étude, dites-le-nous et nous corrigerons.