Les signaux d'alarme
- Autocollant sur un autre code : sur les horodateurs, affiches ou menus. S'il peut se décoller, méfiez-vous.
- Raccourcisseur inconnu : il cache la destination réelle. Une entreprise sérieuse peut utiliser le sien, mais pas un aléatoire.
- Domaine avec fautes :
paypa1.com,banco-seguro-verificacion.com, longs sous-domaines qui imitent une marque. - Urgence et menace : « votre compte sera bloqué », « payez dans 10 minutes », « vérifiez pour ne pas perdre le colis ».
- Demande impossible : un QR dans la rue qui demande le mot de passe de la banque ou les données de la carte.
Comment le vérifier en pratique
- Utilisez un lecteur qui affiche l'URL et n'ouvre pas automatiquement.
- Lisez le domaine de droite à gauche : ce qui est avant la première barre est ce qui compte.
- Comparez avec le domaine officiel que vous connaissez déjà, pas celui qui apparaît sur l'affiche.
- Si la destination demande une connexion, fermez et entrez l'adresse à la main.
- S'il s'agit d'un paiement, ouvrez l'appli de la banque et encaissez depuis l'intérieur ; ne scannez pas un QR qu'on vous envoie pour « recevoir ».
Pourquoi HTTPS ne suffit pas
Un certificat prouve seulement que la connexion est chiffrée, pas qui est derrière. N'importe qui peut en obtenir un pour un nouveau domaine. La bonne question n'est pas « y a-t-il un cadenas ? » mais « ce domaine est-il bien celui de l'entreprise qu'il prétend être ? ».
Règle : si le QR vous demande d'installer une appli hors des boutiques officielles, de donner accès à votre écran ou de payer par un moyen que vous ne reconnaissez pas, arrêtez-vous.
Si vous l'avez déjà scanné
Fermez la page sans rien saisir. Si vous avez écrit des identifiants, changez-les depuis l'appli ou le site officiel et activez la vérification en deux étapes. Si vous avez donné des données de carte, appelez la banque et bloquez le moyen de paiement. Si vous avez installé un profil ou une appli inconnue, désinstallez-la et vérifiez les permissions. Gardez une capture du code et de l'affiche : elle aide à le signaler.
Signalez le faux QR à l'établissement et, s'il est sur la voie publique, à l'autorité locale ou à la mairie. Les codes superposés touchent souvent de nombreux utilisateurs.
Questions fréquentes
HTTPS est-il sûr ?
Il chiffre, mais ne prouve pas l'identité.
Comment voir la destination ?
Avec un lecteur qui affiche l'URL avant d'ouvrir.
Et si je l'ai déjà scanné ?
Fermez, changez les mots de passe et prévenez la banque si vous avez donné des données de paiement.
Les QR de la rue ?
Oui, vérifiez qu'il n'y a pas d'autocollant superposé.