Un QR code peut vous rediriger vers un faux site, vous faire télécharger un logiciel malveillant ou vous inciter à communiquer vos données personnelles ou bancaires.
La technique d’hameçonnage, appelée quishing, peut notamment prendre la forme d’un faux QR code placé sur un équipement ou un document.
Le quishing, contraction de « QR code » et de « phishing », est une technique d’hameçonnage qui utilise un QR code malveillant. Une fois scanné, celui-ci peut vous conduire vers un site internet frauduleux ou vous inviter à télécharger un logiciel malveillant.
L’arnaque se déroule en plusieurs étapes :
- l’escroc génère un QR code qui renvoie vers un site frauduleux ou un logiciel malveillant,
- il place ce QR code dans un lieu public ou le substitue à un QR code légitime ou l’envoie par e-mail,
- vous scannez le QR code et téléchargez un fichier malveillant ou renseignez des informations personnelles ou financières,
- l’escroc récupère les données ou l’argent transmis.
Des QR codes frauduleux ont notamment été utilisés sur des parcmètres, des bornes de recharge de véhicules électriques, de faux avis de contravention, de faux avis de passage, des affiches ou flyers ou encore des menus de restaurants. Ils peuvent également être envoyés par message électronique.
L’envoi d’un QR code malveillant par message électronique peut sembler incongru, puisqu’un second appareil est nécessaire pour le scanner. Cette méthode est toutefois de plus en plus utilisée dans les messages d’hameçonnage et peut faire l’objet d’envois massifs.
Que devez-vous vérifier ?
Avant de scanner un QR code, vérifiez qu’il n’a pas été collé par-dessus un autre QR code. Les fraudeurs peuvent placer un autocollant comportant un faux QR code sur un QR code existant. Si un autre QR code apparaît en dessous, cela doit vous alerter.
Après avoir scanné le QR code, vérifiez l’adresse du site internet qui s’affiche avant d’ouvrir le lien. Assurez-vous qu’elle correspond bien au site sur lequel vous êtes supposé arriver. Au moindre doute, n’ouvrez pas le lien.
Soyez particulièrement vigilant si vous êtes ensuite invité à communiquer des informations personnelles ou bancaires.
Pour aller plus loin
Si vous avez communiqué des informations personnelles ou bancaires, ou si vous avez subi un préjudice, les démarches dépendent de votre situation.
Vous avez besoin d’aide après une cybermalveillance. Vous pouvez utiliser 17Cyber pour effectuer un diagnostic de votre situation et être orienté vers les démarches adaptées.
Vous avez subi une escroquerie suite à un quishing. Si vous êtes victime d’une escroquerie sur internet, vous pouvez, selon votre situation :
- déposer une plainte en ligne si une demande d’argent a été effectuée. Il n’est pas nécessaire qu’un versement et/ou qu’un encaissement ait eu lieu,
- prendre rendez-vous via Police Rendez-vous pour porter plainte ou déposer une main courante,
- porter plainte au commissariat de police ou dans une brigade de gendarmerie.
