Un QR code semble souvent plus simple qu’une adresse à saisir. Pourtant, il peut cacher un lien vers un faux site conçu pour récupérer vos identifiants, vos données personnelles ou vos coordonnées bancaires. Le code lui-même ne permet pas toujours de savoir où il mène : une imitation peut être imprimée sur une affiche, collée par-dessus un code légitime ou envoyée dans un message. Le risque dépend surtout de ce que vous faites après l’avoir scanné.
Le scan, à lui seul, ne signifie pas nécessairement que vos données sont compromises. Avant d’ouvrir le lien, regardez l’adresse affichée par votre téléphone et vérifiez qu’elle correspond bien au service attendu. Méfiez-vous d’un nom de domaine étrange, d’une faute dans le nom d’une marque ou d’une adresse raccourcie qui masque la destination. Si le QR code sert à régler un stationnement, une livraison ou une facture, comparez les informations avec celles présentes sur le site officiel ou sur un support connu. En cas de doute, saisissez vous-même l’adresse officielle dans le navigateur ou utilisez l’application habituelle.
Si vous avez ouvert la page sans rien saisir ni télécharger, fermez-la et ne poursuivez pas. En revanche, si vous avez entré un mot de passe, changez-le depuis le site ou l’application officielle, et non depuis le lien reçu. Si ce mot de passe sert aussi ailleurs, remplacez-le sur les autres comptes concernés par des mots de passe différents. Activez l’authentification à deux facteurs lorsqu’elle est proposée : cette vérification supplémentaire complique l’accès au compte, même si le mot de passe a été récupéré. Consultez aussi les paramètres de sécurité pour fermer les sessions inconnues et vérifier que vos coordonnées de récupération n’ont pas été modifiées.
Si vous avez communiqué des informations bancaires ou constaté une opération que vous ne reconnaissez pas, contactez votre banque sans passer par le numéro ou le lien du QR code. Utilisez le numéro figurant sur votre carte ou dans l’application officielle, expliquez les faits et demandez quelles mesures prendre, notamment une opposition si elle est nécessaire. Ne communiquez jamais un code reçu par SMS à une personne qui vous appelle ou vous écrit, même si elle prétend sécuriser votre compte. Si vous avez téléchargé une application à la demande de la page, évitez de l’ouvrir et demandez conseil à un professionnel ou à un service officiel, comme Cybermalveillance.gouv.fr, pour vérifier les étapes adaptées à votre appareil.
Conservez les éléments utiles : capture d’écran de la page, adresse du site, message reçu, photographie du QR code et éventuels échanges avec le fraudeur. Notez également la date et les actions réalisées. Ces preuves peuvent aider votre banque ou les services chargés du signalement à comprendre la situation. Vous pouvez signaler un contenu ou un site suspect aux services compétents ; Cybermalveillance.gouv.fr propose aussi des conseils et une orientation selon le type d’incident. Si une somme a été débitée, le signalement ne remplace pas le contact avec la banque. Distinguez ce que vous avez constaté de ce que vous soupçonnez : par exemple, une page trompeuse n’établit pas à elle seule qu’un compte a été utilisé par un tiers.
Pour limiter les risques, prenez l’habitude de vérifier la destination d’un QR code avant de poursuivre et de rechercher le service par un canal indépendant lorsque le paiement ou la saisie de données est en jeu. Un code affiché dans un lieu public peut avoir été remplacé ; si son aspect paraît altéré, demandez confirmation au responsable du lieu. Ces précautions ne rendent pas chaque QR code dangereux, mais vous permettent de garder la maîtrise de vos démarches et de réagir méthodiquement si une page vous semble frauduleuse.
