Arnaque au QR code (quishing) : parking, colis, banque

Un QR code dans un email, sur un courrier, sur un horodateur ou sur un colis : pratique, non ? Les escrocs l'ont compris. Ils cachent leur lien piégé dans un QR code. On appelle cela le quishing (voir la définition).

Pourquoi ça marche

Votre messagerie sait repérer un lien dangereux écrit en toutes lettres. Elle sait beaucoup moins bien lire une image. Et quand vous scannez le code avec votre téléphone, vous quittez les protections de votre ordinateur. L'adresse est cachée, vous ne la voyez pas avant d'ouvrir la page.

Les scénarios les plus courants

• Le parking : un autocollant avec un QR code est collé sur un horodateur ou une borne. Il mène à un faux site de paiement qui récupère votre carte.
• Le colis : « votre colis est bloqué, scannez pour reprogrammer la livraison ». Même mécanique que l'arnaque aux frais de livraison.
• La banque ou un service connu : « scannez pour valider votre compte », avec un logo copié. Le code ouvre une fausse page de connexion.
• Le courrier papier : une fausse lettre d'un organisme public avec un QR code « pour régler ».

Les signes qui doivent vous alerter

• Le message est inattendu et vous demande d'agir vite.
• Le QR code est le seul moyen d'agir : pas de numéro de dossier, pas d'autre explication.
• Il est collé par-dessus un autre autocollant, ou le support paraît bricolé.
• L'adresse affichée par votre téléphone n'est pas celle de l'organisme, ou contient des fautes ou des mots en plus.
• On vous demande votre carte, un mot de passe ou un code reçu par SMS.

Les bons réflexes

1. Ne scannez pas un QR code reçu par email sans l'avoir demandé.
2. Pour payer ou vérifier quelque chose, tapez vous-même l'adresse du site officiel ou utilisez l'application.
3. Après un scan, lisez l'adresse avant d'ouvrir la page. En cas de doute, fermez.
4. Si vous avez saisi votre carte, appelez votre banque pour faire opposition. Si vous avez saisi un mot de passe, changez-le partout où vous l'utilisez.
5. Signalez : signal-spam.fr pour un email, 33700 pour un SMS, et pharos pour un contenu illégal sur internet. Pour une arnaque à l'horodateur, prévenez aussi la mairie. Voir aussi le faux mail ANTAI, souvent combiné à ces pièges.

Vérifiez l'email avec Fishi

Transférez le message à check@fishi.email, de préférence en pièce jointe. Fishi lit les QR codes présents dans les images de l'email, vérifie où ils mènent et s'ils figurent sur des listes de sites de phishing, puis vous répond : sûr, suspect ou arnaque, et quoi faire. C'est gratuit et sans compte.