Un QR code peut-il réellement être dangereux

Un QR code ne dit pas à lui seul si la destination est sûre. Il encode le plus souvent une adresse web, un accès Wi-Fi, un paiement ou une action vers une application. Le risque ne vient donc pas du carré noir et blanc lui-même, mais de ce qu’il ouvre une fois scanné.

Dans la pratique, la commodité joue contre la vigilance. L’utilisateur voit une affiche, un ticket, un menu ou une borne, scanne rapidement et agit parfois avant d’avoir identifié le site ou l’action proposée.

Paiement, authentification, téléchargement d’application, accès invité ou information produit : le QR code s’est imposé parce qu’il réduit les frictions. Les usages eux-mêmes ne sont pas anormaux et beaucoup sont utiles.

Le consensus opérationnel est donc simple : un QR code n’est pas suspect par nature. En revanche, il supprime souvent l’étape où l’on lit attentivement une adresse, ce qui ouvre la porte aux erreurs de confiance.

Le problème n’est pas seulement le phishing classique. Un QR code peut conduire vers une page d’imitation, proposer un faux paiement, télécharger un fichier inattendu ou exploiter la confiance liée à un lieu physique. Les campagnes dites de quishing jouent précisément sur cette mécanique.

Certaines applications affichent l’URL avant ouverture, d’autres non ou de manière peu lisible. Le niveau de risque varie donc selon le système, l’application de scan, le contexte et le type d’action déclenché.

Une redirection vers un faux portail peut conduire à saisir un mot de passe ou un code bancaire. Un faux QR posé sur une borne publique peut détourner un paiement. Et un téléchargement déclenché sans attention peut installer une application non désirée.

Le risque reste souvent opportuniste plutôt que sophistiqué, mais l’effet est concret : perte d’identifiants, paiement trompeur, collecte de données ou exposition d’un appareil nomade.

Avant d’agir, regarder le domaine, vérifier si le QR code semble rajouté physiquement, éviter de saisir des identifiants sensibles sans contrôle visuel du site et privilégier une navigation manuelle pour les services critiques. Lorsqu’un paiement est demandé, confirmer le bénéficiaire et le contexte avant validation.

Sur un terminal professionnel ou sensible, mieux vaut limiter l’usage spontané des QR codes inconnus. Le bon réflexe n’est pas de tout refuser, mais de remettre une étape de vérification là où le raccourci l’avait supprimée.