Le « quishing » : les arnaques aux QR codes et aux liens dans les SMS

Le « quishing » : les arnaques aux QR codes et aux liens dans les SMS

Vous scannez un QR code et votre GSM ouvre directement un site web. Vous n'avez lu aucune adresse, rien tapé, rien choisi : le QR a décidé à votre place. C'est précisément ce confort qu'exploite le quishing (QR + phishing) : des QR codes et des liens raccourcis qui masquent leur destination pour vous mener vers de faux sites qui volent vos données ou votre argent.

Le quishing n'est pas une technique à part : c'est le même piège que le smishing, l'hameçonnage par SMS (voir notre guide sur les SMS d'inconnus avec un lien), avec un lien mieux caché. Là où un faux SMS d'amende ou de livraison de colis laisse encore voir un domaine douteux si l'on regarde bien, le QR ne montre rien tant qu'on ne l'a pas scanné.

Où trouve-t-on de faux QR codes ?

• Horodateurs et zones de stationnement. Des autocollants portant un faux QR, collés par-dessus le vrai QR de la commune ou de l'appli de stationnement. Vous scannez, arrivez sur un site qui imite le paiement du stationnement et y saisissez votre carte. Le piège fonctionne d'autant mieux qu'on paie souvent pressé, debout à côté de la voiture.
• Menus de restaurants et terrasses. Un QR collé sur l'original. Le but est généralement de vous faire installer une fausse appli ou de vous envoyer vers un site d'hameçonnage, sous un prétexte quelconque.
• Amendes et avis sur le pare-brise. De faux avis de stationnement impayé ou d'infraction, avec un QR « pour payer moins cher ». Même appât que le faux SMS d'amende, mais sur papier.
• Colis et livraisons. Des QR sur des autocollants ou dans des SMS (« scannez pour reprogrammer votre livraison »), une variante de l'arnaque au faux SMS de colis.
• E-mails et SMS avec QR. Le message vous demande de scanner un QR au lieu de cliquer sur un lien, parfois sous prétexte de « vérification en deux étapes » ou de « sécurité ». C'est aussi une façon de contourner les filtres anti-hameçonnage, qui analysent les liens mais pas les images.
• Cryptomonnaies et paiements. Des QR censés contenir une adresse de paiement ou un « remboursement ». Une fois l'argent envoyé, impossible de le récupérer.

La règle : regardez la destination avant d'ouvrir

Avec un lien classique, vous pouvez lire l'adresse avant de cliquer. Avec un QR, non : il faut donc ajouter cette étape vous-même.

1. Scannez, mais n'ouvrez pas encore. La plupart des smartphones affichent l'adresse complète avant de l'ouvrir. C'est le moment de décider : lisez-la jusqu'au bout, sans vous presser.
2. Vérifiez le domaine. Ce doit être celui du service officiel, sans tirets en trop ni extension bizarre. Si le QR de l'horodateur mène vers un domaine qui n'est ni celui de la commune ni celui de l'appli officielle, il est faux.
3. Au moindre doute, n'ouvrez pas : passez vous-même par le canal officiel. Ouvrez l'appli officielle de stationnement, de votre banque ou du magasin et faites la démarche là. C'est la même méthode que pour vérifier un appel ou un SMS de votre banque.
4. Méfiez-vous des QR pressants. « Scannez maintenant », « dernier rappel », « votre colis repart aujourd'hui ». L'urgence est la signature de la fraude, sur un QR comme dans un SMS.

Un conseil pratique pour les QR dans la rue : regardez s'il n'y a pas un autocollant collé sur un autre. Si le QR de l'horodateur se trouve sur un autocollant qui semble ajouté après coup, ou qui cache un autre code, ne l'utilisez pas. Payez avec l'appli officielle déjà installée sur votre GSM, et prévenez la commune ou le gestionnaire du parking.

Que faire si vous avez déjà scanné et donné des données ?

• Vous avez saisi votre carte sur le site : appelez tout de suite votre banque ou Cardstop (078 170 170) pour faire bloquer la carte, puis demandez-en une nouvelle. Surveillez vos extraits de compte les semaines suivantes.
• Vous avez téléchargé une appli via le QR : désinstallez-la, lancez un antivirus et vérifiez les autorisations accordées (SMS, accessibilité et notifications sont les plus dangereuses).
• Vous avez seulement scanné puis refermé : il ne s'est presque certainement rien passé. Scanner n'installe rien et ne transmet aucune donnée ; le risque commence quand vous interagissez avec le site.
• Portez plainte à la police avec des photos du QR (s'il était dans la rue, photographiez l'autocollant et son emplacement) et des captures du site. Vous pouvez aussi signaler l'arnaque au SPF Économie via ConsumerConnect.
• Si le QR est arrivé par SMS ou par e-mail, transférez le message à Safeonweb (Centre pour la Cybersécurité Belgique), à l'adresse [email protected], avec une capture d'écran pour un SMS, et signalez le numéro dans l'annuaire des numéros spam.

Questions rapides

Scanner un QR peut-il pirater mon GSM ? Scanner seul, non : un QR ne contient que du texte (généralement une adresse web). Le danger vient du site vers lequel il vous envoie et de ce que vous y faites : saisir des données, télécharger des fichiers ou accorder des autorisations. D'où la défense : vérifier la destination avant d'ouvrir.

Les liens raccourcis (bit.ly et autres), c'est la même chose ? Le même problème, oui : ils cachent la destination. Certains raccourcisseurs permettent un aperçu (souvent en ajoutant un « + » à la fin de l'adresse), mais la règle pratique reste la même : si vous ne savez pas où mène le lien et qu'on vous presse de cliquer, ne cliquez pas et passez par le canal officiel.

Ma banque peut-elle m'envoyer un QR légitime ? Oui, par exemple pour activer son appli ou confirmer une opération... dans le cadre d'une démarche que VOUS avez lancée. Un QR « de la banque » reçu sans que vous ayez rien demandé suit la règle générale : ne l'utilisez pas et ouvrez vous-même l'appli officielle.

Comment protéger une personne âgée ? Avec une phrase : « ne paie jamais en scannant un QR dans la rue ; utilise l'appli que tu as déjà ». Pensez surtout aux horodateurs, où l'on paie souvent vite et sans regarder. Vous trouverez d'autres conseils de prévention sur notre blog.

Le résumé tient en une ligne : un QR est un lien que vous ne pouvez pas lire, alors lisez-le avant d'ouvrir. Scannez, regardez l'adresse et, si ce n'est pas le domaine officiel, fermez et passez par le canal officiel. Cette seconde de pause suffit à déjouer tout le quishing.