QR Code Security: How to Avoid Quishing Scams in 2026
Les QR codes font desormais partie integrante de notre quotidien. On les scanne dans les restaurants, aux parcometres, sur les badges de conference, sur les emballages de produits et aux arrets de bus. D'ici 2026, on estime que 100 millions d'Americains scanneront un QR code au moins une fois par mois — et l'adoption en France et en Europe suit la meme trajectoire. Mais avec cette omnipresence vient une question que de plus en plus de personnes se posent : les QR codes sont-ils vraiment surs ?
La reponse courte : les QR codes en eux-memes sont neutres. Ils ne sont qu'un moyen d'encoder de l'information — generalement une URL. Le risque ne reside pas dans le code. Il reside dans la destination vers laquelle le code vous dirige, et dans votre capacite a distinguer une destination legitime d'une destination malveillante avant qu'il ne soit trop tard.
Ce guide couvre tout ce que vous devez savoir sur la securite des QR codes, la montee des attaques de "quishing", comment vous proteger, et ce que les entreprises doivent faire pour garantir la securite de leurs clients.
Qu'est-ce que le quishing ?
Le quishing — contraction de "QR" et "phishing" — est une attaque d'ingenierie sociale dans laquelle un acteur malveillant utilise un QR code pour rediriger les victimes vers un site web frauduleux. L'objectif est le meme que le phishing traditionnel : voler des identifiants, installer des logiciels malveillants ou inciter quelqu'un a effectuer un paiement vers le mauvais compte.
Ce qui rend le quishing particulierement efficace, c'est que les QR codes sont opaques. Contrairement a une URL dans un e-mail (ou l'on peut au moins survoler le lien pour voir la destination), un QR code ne revele rien sur sa destination jusqu'a ce que vous le scanniez. Et quand votre telephone ouvre le navigateur, vous etes deja sur la page de l'attaquant.
Le Centre de plaintes pour les crimes sur Internet du FBI (IC3) a emis un avertissement public sur le quishing en 2022, signalant que des cybercriminels manipulaient des QR codes pour rediriger les victimes vers des sites malveillants qui volent les identifiants de connexion et les informations financieres. En France, l'ANSSI (Agence Nationale de la Securite des Systemes d'Information) et Cybermalveillance.gouv.fr ont egalement alerte sur cette menace croissante. Depuis, le phenomene n'a fait que s'amplifier.
Pourquoi le quishing est en pleine croissance
Plusieurs facteurs expliquent la montee du quishing :
- Conditionnement de la confiance : La pandemie a normalise le scan de QR codes. Les gens ont cesse de se demander ce qu'ils scannaient.
- Contournement des filtres e-mail : Les liens de phishing traditionnels sont interceptes par les filtres anti-spam. Un QR code integre dans un PDF ou une image en piece jointe contourne le scan d'URL base sur le texte.
- Faible cout, grande portee : Imprimer un autocollant avec un QR code malveillant et le coller sur un parcmetre ne coute quasiment rien.
- Vulnerabilite mobile : Les telephones ont des ecrans plus petits, ce qui rend l'inspection des URL plus difficile. De nombreux navigateurs mobiles tronquent les URL longues, cachant les domaines suspects.
Exemples concrets de quishing
Ce ne sont pas des scenarios hypothetiques. Ils se sont produits et continuent de se produire.
Arnaques aux parcometres
Dans des villes aux Etats-Unis, au Royaume-Uni et en Europe, des criminels ont place de faux autocollants QR code sur des parcometres et des bornes de paiement. Quand les automobilistes scannent pour payer, ils sont rediriges vers une fausse page de paiement convaincante qui capture les donnees de leur carte bancaire. En France, des cas similaires ont ete signales dans les parkings de plusieurs villes, notamment avec de faux QR codes colles sur les horodateurs.
Faux menus de restaurant
Puisque les restaurants ont largement adopte les menus par QR code pendant le COVID, les attaquants ont exploite ce reflexe. Un autocollant place sur un QR code legitime sur une table redirige les convives vers une page de phishing qui imite le systeme de commande du restaurant — tout en derobant les donnees de paiement au passage.
E-mails de phishing d'entreprise
C'est le vecteur d'attaque a la croissance la plus rapide. Les attaquants envoient des e-mails qui semblent provenir des services informatiques, des RH ou des services de livraison, contenant un QR code au lieu d'un lien cliquable. L'e-mail peut dire "Scannez pour verifier votre identite" ou "Scannez pour suivre votre colis". Comme le QR code est une image, les outils de securite de messagerie qui analysent les URL textuelles le manquent souvent completement.
Fraude aux cryptomonnaies et paiements
Les escrocs placent des QR codes aux distributeurs de Bitcoin ou les partagent via des messages sur les reseaux sociaux, pretendant qu'ils menent a un portail de paiement. Le scan du code initie une transaction vers le portefeuille de l'attaquant. Une fois la cryptomonnaie envoyee, c'est irreversible.
Bornes de recharge pour vehicules electriques
Une variante plus recente cible les bornes de recharge pour vehicules electriques. De faux autocollants QR code places sur les codes de paiement legitimes redirigent les conducteurs vers des portails de paiement frauduleux. Cela a ete signale dans plusieurs pays europeens en 2025, y compris en France.
Comment reperer un QR code malveillant : 7 signaux d'alerte
Tous les QR codes ne sont pas dangereux, mais developper un reflexe de prudence vous protegera. Voici sept signes que quelque chose pourrait clocher.
Le code est un autocollant colle sur un autre code
C'est le vecteur d'attaque physique le plus courant. Si un QR code semble etre un autocollant superpose sur un code imprime, considerez-le comme suspect. Les entreprises legitimes impriment leurs QR codes directement sur la signaletique ou les menus.
L'URL ne correspond pas au domaine attendu
Apres le scan, verifiez l'URL dans la barre de votre navigateur avant d'interagir avec la page. Si vous avez scanne un code dans un restaurant appele "Chez Marcel" mais que l'URL ressemble a chez-marcel-paiement-verification.domaine-suspect.com, fermez l'onglet immediatement.
La page de destination demande immediatement des informations sensibles
Les destinations legitimes de QR codes demandent rarement votre mot de passe, votre numero de securite sociale ou les details complets de votre carte bancaire des la premiere page. Si un code scanne vous amene directement a une page de connexion ou un formulaire de paiement, faites une pause et verifiez.
L'URL utilise HTTP au lieu de HTTPS
Toute page de paiement ou de connexion legitime utilise HTTPS (cherchez l'icone du cadenas). Si l'URL scannee commence par http:// (sans le 's'), la connexion n'est pas chiffree et vous ne devriez saisir aucune donnee personnelle.
L'URL contient des fautes d'orthographe ou des domaines sosies
Les attaquants enregistrent des domaines qui ressemblent aux domaines legitimes : paypa1.com au lieu de paypal.com, arnazon.com au lieu de amazon.com. Verifiez attentivement.
Le code est apparu de maniere inattendue
Si vous recevez un QR code non sollicite par e-mail, SMS ou reseaux sociaux — surtout avec un ton d'urgence ("Scannez immediatement pour eviter la suspension de votre compte") — considerez-le comme une tentative de phishing jusqu'a preuve du contraire.
Il n'y a pas de contexte ou de marque autour du code
Les QR codes d'entreprises legitimes apparaissent generalement dans des supports de marque avec un contexte clair sur ce que vous obtiendrez en scannant. Un QR code aleatoire sur un flyer sans logo, sans nom d'entreprise et sans explication est un signal d'alarme.
Comment les entreprises peuvent proteger leurs clients
Si vous generez des QR codes pour votre entreprise, vous avez la responsabilite de les rendre dignes de confiance. Voici comment.
Utilisez un generateur de QR codes de confiance
Tous les generateurs ne se valent pas. Certains outils gratuits injectent des pixels de suivi, redirigent via des reseaux publicitaires ou utilisent des domaines signales par les logiciels de securite. Utilisez un generateur qui fournit des liens propres et directs avec un comportement de redirection transparent.
QR-Verse genere des QR codes avec des redirections HTTPS propres, sans injection publicitaire, sans pixels de suivi et sans collecte de donnees. Chaque redirection est transparente — les utilisateurs peuvent voir exactement ou ils vont avant d'arriver.
Utilisez des QR codes dynamiques
Les QR codes dynamiques vous donnent le controle apres impression. Si votre URL de destination change, est compromise ou doit etre mise a jour, vous pouvez modifier la destination du code sans reimprimer. C'est egalement crucial pour la reponse aux incidents — si une page de destination est compromise, vous pouvez rediriger le QR code vers une page securisee en quelques minutes.
Personnalisez vos QR codes a votre marque
Un QR code bien concu et a l'image de votre marque est plus difficile a contrefaire. Quand les clients reconnaissent le style visuel de votre marque dans le QR code lui-meme (couleurs, logo, styles de coins), un autocollant generique en noir et blanc place par-dessus devient immediatement suspect.
Ajoutez du contexte autour de chaque code
Ne placez jamais un QR code sans expliquer ce qu'il fait. "Scannez pour voir notre carte" ou "Scannez pour payer le stationnement — propulse par [Nom de l'Entreprise]" donne aux utilisateurs l'information necessaire pour juger de la legitimite.
Surveillez les statistiques de scan
Avec des QR codes dynamiques, vous pouvez suivre les tendances de scan. Une hausse soudaine des scans depuis un emplacement inattendu pourrait indiquer que quelqu'un a copie votre code ou l'a remplace par un code malveillant.
Effectuez des audits physiques reguliers
Si vous avez des QR codes dans des espaces publics (vitrines, affiches, zones de stationnement), verifiez-les periodiquement. Cherchez des autocollants places sur vos codes et testez-les vous-meme pour vous assurer qu'ils menent toujours a la bonne destination.
Fonctionnalites de securite de QR-Verse
La securite n'est pas une reflexion apres coup chez QR-Verse. Elle est integree au produit.
- Application du HTTPS : Toutes les destinations de QR codes sont servies via des connexions chiffrees. Les URL en HTTP uniquement sont signalees lors de la generation.
- Aucune collecte de donnees : Nous ne vendons pas les donnees de scan, n'injectons pas de pixels de suivi et ne monetisons pas le comportement de vos utilisateurs.
- Redirections transparentes : Nos QR codes dynamiques utilisent des chaines de redirection propres. Pas d'intermediaires publicitaires, pas de camouflage, pas de destinations surprises.
- Apercu de l'URL au scan : Notre systeme prend en charge la fonctionnalite d'apercu d'URL pour que les utilisateurs puissent voir la destination avant d'etre rediriges.
- Controle des codes dynamiques : Modifiez ou desactivez n'importe quelle destination de QR code instantanement depuis votre tableau de bord. Si quelque chose tourne mal, vous pouvez reagir en quelques secondes.
- Pas de creation de compte obligatoire : Generez des QR codes sans fournir de donnees personnelles. Nous n'exigeons pas d'adresse e-mail pour creer un code.
Generez des QR codes securises
Creez des QR codes fiables et personnalises avec des analyses completes et des redirections transparentes. Aucun suivi cache, aucune collecte de donnees.
Creer un QR code gratuit →Que faire si vous avez scanne un QR code suspect
Si vous pensez avoir scanne un QR code malveillant, agissez rapidement.
Ne saisissez aucune information
Si vous avez ete dirige vers une page qui demande des identifiants, des informations de paiement ou des donnees personnelles — fermez-la immediatement. Ne remplissez rien.
Deconnectez-vous d'Internet temporairement
Si vous soupconnez qu'un logiciel malveillant a pu etre declenche (surtout sur Android), passez en mode avion pour empecher toute transmission de donnees en arriere-plan.
Verifiez les installations d'applications non autorisees
Allez dans la liste des applications de votre telephone et cherchez tout ce que vous n'avez pas installe. Supprimez-le immediatement.
Changez les mots de passe compromis
Si vous avez saisi un mot de passe sur une page suspecte, changez-le immediatement — et changez-le sur tout autre service ou vous utilisez le meme mot de passe.
Activez l'authentification a deux facteurs
Si ce n'est pas deja fait, activez la 2FA sur vos comptes critiques (e-mail, banque, reseaux sociaux). Cela limite les degats meme si vos identifiants ont ete voles.
Signalez l'incident
Signalez le QR code malveillant aux autorites locales et aux agences de cybersecurite competentes. En France, deposez un signalement sur Cybermalveillance.gouv.fr et portez plainte aupres de la police ou de la gendarmerie. Vous pouvez egalement signaler l'arnaque sur la plateforme PHAROS (internet-signalement.gouv.fr).
Surveillez vos comptes
Gardez un oeil sur vos releves bancaires et vos rapports de credit au cours des prochaines semaines. Configurez des alertes de transaction si votre banque le propose.
L'avenir de la securite des QR codes
La securite des QR codes evolue en parallele avec les menaces. Voici ce qui se dessine a l'horizon.
Pression reglementaire
Le Digital Services Act de l'UE et les prochaines revisions du Reglement ePrivacy poussent vers plus de transparence dans la facon dont les QR codes gerent les donnees des utilisateurs. Les entreprises qui generent des QR codes pourraient bientot devoir se conformer a des exigences de divulgation plus strictes sur les destinations de redirection et les pratiques de collecte de donnees.
Standards de QR codes securises
Des groupes industriels travaillent sur des standards pour des QR codes "signes" — des codes qui incluent une signature cryptographique verifiant l'identite du createur. Considerez cela comme le HTTPS des QR codes. Bien que ce soit encore en phase de developpement, cela pourrait fondamentalement changer le fonctionnement de la confiance dans les interactions basees sur les QR codes.
Protections integrees aux telephones
Apple et Google ont ameliore les capacites de scan de QR codes de leurs applications photo. iOS affiche desormais un apercu de l'URL avant d'ouvrir un lien, et Android suit la meme voie. Les prochaines versions pourraient inclure des verifications de reputation d'URL en temps reel — comparant la destination scannee avec des bases de donnees de phishing connues avant le chargement de la page.
Detection des menaces par l'IA
Les entreprises de securite deploient des modeles d'apprentissage automatique qui analysent les destinations des QR codes en temps reel, verifiant les indicateurs de phishing comme les domaines recemment enregistres, les chaines de redirection suspectes et les pages qui imitent des marques connues. Ce type de protection automatisee sera de plus en plus integre dans les applications de scan et les plateformes de securite d'entreprise.
Questions frequemment posees
Les QR codes sont-ils dangereux en eux-memes ?
Non. Un QR code est simplement une representation visuelle de donnees — generalement une URL. Le code lui-meme ne peut pas installer de logiciel malveillant ni voler d'informations. Le risque vient de ce qui se passe apres le scan : si l'URL mene a un site web malveillant, c'est la que reside le danger.
Qu'est-ce que le quishing ?
Le quishing (QR + phishing) est un type de cyberattaque ou des criminels utilisent des QR codes pour rediriger les victimes vers des sites web frauduleux concus pour voler des informations personnelles, des identifiants de connexion ou des donnees de paiement. Cela fonctionne de la meme maniere que le phishing par e-mail, mais utilise les QR codes comme mecanisme de diffusion.
Le scan d'un QR code peut-il installer un logiciel malveillant sur mon telephone ?
Dans la plupart des cas, scanner un QR code ouvre simplement une URL dans votre navigateur — cela n'installe pas directement de logiciel malveillant. Cependant, le site web vers lequel vous etes dirige pourrait tenter d'exploiter des vulnerabilites du navigateur ou vous inciter a telecharger une application malveillante. Maintenez toujours le systeme d'exploitation et le navigateur de votre telephone a jour.
Comment puis-je verifier si un QR code est sur avant de le scanner ?
Cherchez des signes physiques de manipulation (autocollants places sur les codes originaux). Apres le scan, verifiez l'apercu de l'URL avant de taper pour ouvrir. Confirmez que le domaine correspond a ce que vous attendez. Utilisez une application de scan QR qui affiche l'URL complete avant de naviguer. Ne scannez jamais les QR codes de sources inconnues ou non sollicitees.
Les QR codes dynamiques sont-ils plus surs que les statiques ?
Les QR codes dynamiques offrent plus de controle de securite pour l'entreprise qui les cree. La destination peut etre changee ou desactivee a tout moment, les tendances de scan peuvent etre surveillees pour detecter des anomalies, et les liens compromis peuvent etre remplaces immediatement. Pour les consommateurs, la securite depend de la confiance accordee au createur du QR code.
Que doivent faire les entreprises pour prevenir les attaques de quishing sur leurs clients ?
Utiliser un generateur de QR codes de confiance avec application du HTTPS, personnaliser les QR codes avec la marque pour que les contrefacons soient evidentes, toujours fournir un contexte sur ce que fait le code, utiliser des codes dynamiques pour des mises a jour faciles, auditer regulierement les emplacements physiques des QR codes et surveiller les statistiques de scan pour detecter des tendances suspectes.
Est-il sur de scanner des QR codes pour des paiements ?
Les paiements par QR code sont surs lorsqu'ils sont effectues via des plateformes de paiement verifiees et etablies. Verifiez toujours que la page de paiement utilise HTTPS, que le nom du commercant correspond a ce que vous attendez, et que le QR code n'a pas ete physiquement altere. En cas de doute, utilisez directement l'application du commercant au lieu de scanner.
Le mot de la fin
Les QR codes sont aussi surs que les intentions qui les sous-tendent. La technologie est neutre — c'est un pont entre le monde physique et le monde numerique. La question n'est pas de savoir si les QR codes sont surs. C'est de savoir si vous savez comment les utiliser en toute securite.
Pour les consommateurs, le mot cle est la vigilance : verifiez les URL avant d'interagir, mefiez-vous des codes dans des endroits inattendus et ne saisissez jamais d'informations sensibles sur une page atteinte via un QR code inconnu.
Pour les entreprises, le mot cle est la responsabilite : utilisez des generateurs de confiance, personnalisez vos codes avec votre marque, fournissez du contexte et surveillez toute manipulation. La confiance de vos clients est en jeu chaque fois qu'ils scannent l'un de vos codes.
La securite n'est pas une fonctionnalite qu'on ajoute apres coup. C'est un fondement qu'on construit des le depart.
Try our free tools:
Crée ton code QR en quelques secondes
Sans inscription, sans carte de crédit. Plus de 20 types de QR avec personnalisation complète et analytics gratuits.
Related Articles
URL QR Code Guide: Create Trackable, Editable Links
Everything you need to know about URL QR codes. Learn how to create dynamic, trackable links with custom designs — free, no sign-up required.
Read moreApp Download QR Code: One Code for iOS and Android
Stop printing two QR codes. Create a single smart app download QR that detects the device and routes to the correct App Store or Google Play listing.
Read moreWiFi QR Code Generator: Share Your Network Instantly
Create a WiFi QR code that lets guests connect with a single scan. Complete guide for homes, cafes, hotels, and offices — no password typing needed.
Read more