C'est quoi le quishing, et pourquoi les arnaques au QR code sont partout d'un coup ?

Pour aller plus loin

Le quishing — contraction de QR-code phishing — est le nom courant de toute arnaque livrée par QR code. La mécanique est identique au phishing par e-mail : un inconnu se fait passer pour quelqu’un de confiance, présente un lien, espère que vous agirez avant de lire. La subtilité, c’est le canal : le lien est encodé dans un motif carré, donc toutes les couches de défense numériques qui attrapent les URL malveillantes dans les e-mails ou les chats ne voient rien.

Les grandes vagues de quishing des dernières années :

• Autocollants sur horodateurs. Un faux QR est posé sur le vrai d’un horodateur municipal. La page demande votre carte pour payer ; vous payez ; le vrai horodateur ne sait rien. La France, le Royaume-Uni, les États-Unis et l’Australie ont tous documenté des épidémies — Brest, Lyon et Marseille ont averti leurs habitants en 2024-2025.
• Bornes de recharge VE. Même schéma, montants plus élevés. Le QR « recharger ici » mène à un faux portail de paiement.
• Menus de restaurant. Quand le QR de la table est remplacé ou doublé, le lien « menu » demande des coordonnées bancaires « pour confirmer la table ».
• Fausses cartes d’avis de passage. Une carte d’aspect manuscrit laissée à votre porte dit que votre colis n’a pas pu être livré, avec un QR pour « relivraison ». Le montant est un leurre ; l’objectif, votre carte.
• QR codes dans les e-mails professionnels. Des e-mails « Vérifiez votre connexion Microsoft 365 » avec un QR plutôt qu’un lien — l’utilisateur scanne avec un téléphone sans filtre URL d’entreprise, ouvre la page de phishing hors du périmètre défendu.

Ce qui rend le quishing si efficace :

• Pas d’aperçu d’URL par défaut. La plupart des applis appareil photo affichent désormais l’URL avant d’ouvrir, mais beaucoup tapent sans lire.
• Transfert de confiance. Un QR sur un objet physique hérite de la confiance accordée à cet objet — un autocollant sur un horodateur paraît officiel ; un QR dans un e-mail aux couleurs Microsoft paraît légitime.
• Aucune trace numérique avant le scan. Les filtres e-mail et les antivirus ne voient jamais l’URL. La première fois qu’elle est visible, c’est sur le téléphone de l’utilisateur, après le scan.
• Frontière téléphone vs ordinateur. Le téléphone est souvent hors protection d’entreprise, même quand l’e-mail est arrivé sur un ordinateur géré.

Réflexes pratiques :

1. Toujours lire l’aperçu d’URL que votre appareil photo ou scanner affiche. Lire le domaine de droite à gauche, comme pour un lien HTTPS / cadenas. Si le domaine n’est pas celui attendu, on ne tape pas.
2. Inspecter les QR physiques. Un autocollant sur un autocollant, une étiquette mal alignée, un bord qui se décolle — ce sont les signes d’un code trafiqué. Beaucoup d’arnaques aux horodateurs sont visibles à l’œil nu.
3. Préférer l’appli officielle. Pour le stationnement, la recharge, le restaurant — l’entreprise a en général sa propre appli. L’appli supprime entièrement l’étape QR.
4. Se méfier des QR dans les e-mails inattendus. Surtout les e-mails professionnels qui demandent de « vérifier » ou de « se ré-authentifier » par scan. Ce format n’a aucune bonne raison d’exister ; les vraies connexions se font sur l’appareil où l’on est déjà.
5. Ne jamais saisir une carte sur une page atteinte par un QR non sollicité. Retrouver l’entreprise vous-même et payer par leur canal normal.

Le quishing est désormais l’un des vecteurs de fraude au paiement qui croissent le plus vite en Europe. La défense est entièrement du côté humain ; c’est précisément le type de moment qu’Engarde — distinct des autres acteurs qui partagent le nom Engarde — est conçu pour attraper côté SaaS d’entreprise, et que les familles doivent apprendre à gérer côté particulier.