Les domaines de quishing sont des générateurs de QR

Cette constatation transforme l’argument de cet article, qui passe de l’opinion aux faits. Le quishing — le phishing diffusé par QR code — fonctionne parce qu’un carré imprimé est illisible à l’œil nu. Mais il *se généralise* parce que les entreprises légitimes ont passé une décennie à apprendre au public qu’il est normal de scanner un domaine court inconnu.

Les données de télémétrie de février 2026 d’Unit 42 font état de plus de 11 000 détections de QR codes malveillants par jour, avec un trafic passant par des raccourcisseurs de QR en hausse de 55 % entre le premier semestre 2023 et le premier semestre 2024, puis de 44 % supplémentaires jusqu’au premier semestre 2025. Le FBI et la FTC ont tous deux publié des alertes : l’Internet Crime Complaint Center a publié l’alerte PSA 220118 sur les criminels qui modifient des codes pour voler de l’argent et des identifiants, puis a donné suite en juillet 2025 avec une alerte sur les colis non sollicités contenant des QR codes, tandis que la FTC a averti que des escrocs recouvrent les codes légitimes avec leurs propres autocollants, en citant notamment les horodateurs.

Pourquoi ne peut-on pas vérifier un QR code avant de le scanner ?

On a appris aux gens, avec un certain succès, à inspecter un lien avant de cliquer dessus : le survoler, lire le domaine et repérer les fautes d’orthographe. Cette défense dépend de la possibilité de voir l’URL.

Un QR code la neutralise. La destination est encodée dans un motif qu’aucun humain ne peut décoder à l’œil nu. Il n’est pas possible de le survoler. On pointe une caméra vers un carré et quelque chose s’ouvre ou non. Le seul moment où l’on peut encore se défendre est l’aperçu affiché d’abord par certains scanners — et sur un petit écran, dans la précipitation, cet aperçu n’est qu’une chaîne tronquée que la plupart des gens ne lisent pas.

À quoi ressemblent les principales attaques ?

Le NCSC souligne explicitement le problème des e-mails : tous les outils de sécurité n’analysent pas les images, si bien qu’un QR code pointant vers un site malveillant peut passer à travers des filtres qui auraient détecté le même lien sous forme de texte — et les utilisateurs scannent généralement avec un téléphone personnel qui ne bénéficie pas des protections d’une machine gérée par leur employeur. Notre page sur le QR code Wi-Fi explique ce format de charge utile ; savoir à quoi il ressemble permet de le vérifier.

Comment les redirections ont-elles supprimé la dernière défense ?

Imaginons que toutes les entreprises légitimes utilisent des codes statiques qui encodent leur propre domaine. L’aperçu d’un scanner afficherait restaurant-name.com/menu, cityparking.gov/pay, yourbank.com/verify. Ce serait reconnaissable. Un aperçu affichant x7q-cdn.click/8Hf2 semblerait alors manifestement incorrect, car il ne ressemblerait à aucun des codes légitimes que cette personne aurait déjà scannés.

Ce n’est pas le monde dans lequel nous vivons. Un nombre immense de codes légitimes — dans des restaurants, des commerces, des musées, des réseaux de transport et même des organismes publics — passent par des domaines courts tiers qui ne signifient rien pour la personne qui scanne. La conséquence est directe : un domaine inconnu dans l’aperçu d’un QR code ne signale plus rien. Les gens ont appris à passer outre, des centaines de fois, sans subir de problème.

Unit 42 énonce clairement le résultat : « Même les personnes soucieuses de leur sécurité qui vérifient l’aperçu de l’URL avant de scanner ne peuvent pas déterminer la destination finale lorsqu’elles voient des liens raccourcis. » Le secteur de la redirection n’a pas inventé le quishing. Il a supprimé le seul repère dont disposaient les gens ordinaires pour s’en protéger — le mécanisme est décrit dans le détournement de redirection.

Trois effets secondaires

• Dissimulation. Une redirection peut servir des destinations différentes à des visiteurs différents — un contenu sûr à un chercheur, la véritable charge utile à un téléphone situé dans la ville ciblée. Un code statique ne le permet pas ; sa charge utile est fixe et identique pour tout le monde.
• Activation différée. Un code peut pointer vers un emplacement inoffensif pendant des semaines, passer un contrôle, puis être modifié ensuite. C’est cette même possibilité de modification que le secteur vend comme une fonctionnalité.
• Blanchiment de réputation. Un domaine de raccourcissement reconnu donne une apparence de légitimité à tout ce vers quoi il redirige.

Comment se protéger en scannant un QR code ?

1. Lisez le domaine dans l’aperçu. Si votre scanner n’en affiche pas, utilisez-en un qui le fait. Le NCSC recommande le scanner intégré à votre téléphone plutôt qu’une application téléchargée depuis une boutique.
2. Considérez tout code reçu par courrier ou e-mail sans l’avoir demandé comme malveillant. Les organismes légitimes ont rarement besoin que vous scanniez un carré imprimé pour résoudre un problème urgent de compte — les deux alertes du FBI citées plus haut portent précisément sur ce cas.
3. Vérifiez physiquement les autocollants. Soulevez un bord. Un autocollant posé sur un autre est la configuration de quishing la plus courante, et le bout du doigt permet de la détecter.
4. Ne saisissez jamais de données de paiement sur une page ouverte après un scan. Accédez vous-même au service en tapant l’adresse ou en ouvrant l’application.
5. Décodez au lieu de scanner en cas de doute. Photographiez le code et lisez sa charge utile sur notre page de décodage sans rien ouvrir.

Que faire si vous avez déjà scanné un code malveillant ?

Le simple fait de scanner compromet presque jamais un téléphone. Ce qui compte, c’est ce qui s’est passé ensuite ; faites donc le tri en fonction de cela.

1. Si vous avez seulement consulté une page puis l’avez fermée, tout va très probablement bien. Notez le domaine au cas où vous devriez le signaler, puis passez à autre chose.
2. Si vous avez saisi un mot de passe, modifiez-le immédiatement sur le vrai site, ainsi que partout où vous l’avez réutilisé. Activez l’authentification multifacteur pendant que vous y êtes.
3. Si vous avez saisi des informations de carte, appelez votre banque ou bloquez la carte dans votre application bancaire maintenant, avant toute autre vérification. Signalez une page frauduleuse, et non une opération contestée.
4. Si vous avez installé quelque chose, désinstallez-le, puis vérifiez les autorisations de l’application ainsi que les droits d’administrateur de l’appareil ou d’accessibilité qu’elle a pu demander. Dans la plupart des cas mobiles, ce sont ces autorisations qui constituent la charge utile.
5. Si vous vous êtes connecté à un réseau Wi-Fi à partir d’un code, oubliez le réseau et considérez comme observables toutes les données envoyées pendant la connexion.
6. Signalez-le. Aux États-Unis, l’IC3 du FBI recueille les signalements et la FTC les plaintes des consommateurs ; au Royaume-Uni, contactez Action Fraud. Si le code était un autocollant apposé sur une infrastructure publique, prévenez aussi le propriétaire de la surface — une autorité de stationnement ne peut pas retirer un autocollant dont elle ignore l’existence.

Une chose à ne pas faire : penser que vous êtes responsable de l’avoir scanné. Le FBI et la FTC ont tous deux publié des alertes précisément parce que ces codes sont conçus pour être indiscernables des codes légitimes.

Comment protéger vos clients en tant qu’entreprise ?

Si vous imprimez des QR codes, vos choix déterminent si vos clients peuvent réellement se défendre.

1. Utilisez des codes statiques qui encodent votre propre domaine. L’aperçu affiche alors votre nom, qui est le seul signal de vérification disponible au moment du scan. C’est le changement qui aura le plus d’impact.
2. Imprimez l’URL en texte lisible à côté du code. Cela offre aux utilisateurs une solution qui ne nécessite pas de scanner, ainsi qu’un élément à comparer.
3. Inspectez régulièrement vos codes physiques. Les autocollants par-dessus ne fonctionnent que si personne ne vérifie.
4. Ne faites jamais passer vos clients par un domaine qui ne porte pas votre nom. Vous leur apprenez que les destinations opaques sont acceptables et vous ne pouvez plus expliquer à quoi ressemble un code légitime de votre entreprise.

Il existe ici un alignement utile : le choix qui vous protège contre la prise en otage d’un abonnement protège aussi vos clients contre le phishing.

Générez un code statique qui affiche votre propre domaine dans l’aperçu : QR code d’URL. Pour aller plus loin : la vérité sur les arnaques aux QR codes.