2 octobre 2026

Arnaque au code QR : comment la repérer et protéger votre entreprise

Un code QR ne vous dit pas où il vous mène. C'est tout l'intérêt — et tout le problème. Avec un lien, on peut au moins lire l'adresse avant de cliquer. Avec un QR, on pointe le téléphone et on fait confiance.

Les escrocs l'ont très bien compris. D'après les chiffres de Microsoft, les attaques par code QR qu'il détecte sont passées de 7,6 millions en janvier à 18,7 millions en mars 2026. Et le rapport Barracuda de cette année sur les e-mails malveillants indique que 70 % des PDF malveillants analysés cachaient un QR menant à une fausse page.

Pourquoi maintenant, et quel rapport avec l'IA

Il y a quelques années, monter une fausse page de connexion ressemblant à celle de la banque ou de Microsoft 365 demandait du temps et du savoir-faire. Aujourd'hui, avec l'IA, cela prend quelques minutes, et l'e-mail qui l'accompagne arrive dans une langue impeccable, sans la moindre faute pour le trahir.

Le QR ajoute deux avantages pour l'escroc. D'abord, c'est une image, et beaucoup de filtres de messagerie ne la lisent pas comme un lien. Ensuite, vous le scannez avec votre téléphone — hors de l'ordinateur de l'entreprise et des protections qui y sont installées.

Les deux portes d'entrée

1. Le QR qui vous arrive. Un e-mail ou un PDF disant « scannez pour voir la facture en attente », « renouvelez votre mot de passe avant ce soir », « votre colis est retenu » ou « vous avez une notification officielle ». Il peut aussi arriver sur papier, par courrier ou collé sur la porte.

2. Le QR que vous affichez vous-même. La carte du restaurant, le paiement au comptoir, le « laissez-nous un avis » en vitrine. Quelqu'un colle son propre QR par-dessus, et vos clients atterrissent sur un faux site. Vous n'avez rien fait de mal, mais l'arnaque porte votre nom.

Un exemple : le café aux tables à QR

Prenons un café dont la carte est sur un QR à chaque table. Un lundi, trois clients se plaignent : en scannant le code, une fenêtre leur a demandé de « confirmer » quelque chose, et ils ont maintenant un abonnement payant qu'ils n'avaient pas demandé. Ils inspectent les tables et en trouvent quatre avec un autocollant posé sur le QR d'origine. Quelqu'un l'avait fait pendant le week-end.

Ils n'ont pas perdu d'argent, mais de la confiance : un mauvais avis et des clients qui ne scannent plus rien. Désormais les QR sont intégrés dans le support plastifié, l'adresse est écrite en dessous, et celui qui ouvre le local les vérifie chaque matin.

Signaux d'alerte

• Un e-mail ou un PDF vous demande de scanner un QR au lieu de cliquer sur un lien. Une entreprise sérieuse n'a aucune raison de le faire.
• Il y a urgence : « expire aujourd'hui », « dernier avis », « évitez la majoration ».
• Après le scan, la page demande un mot de passe, des données de carte ou l'installation d'une application.
• L'adresse affichée par l'appareil photo n'est pas celle du domaine officiel, est raccourcie ou contient des lettres modifiées (un « l » pour un « I », un tiret en trop).
• Sur papier ou sur une affiche : autocollant de travers, bords soulevés, ou un QR collé sur un autre.

Les vérifications de 30 secondes

• Lisez l'aperçu de l'adresse avant de l'ouvrir. La plupart des téléphones l'affichent.
• Si c'est un service que vous connaissez déjà (la banque, la messagerie de l'entreprise, les impôts), ne scannez pas : allez-y vous-même, via l'application ou en tapant l'adresse.
• Ne saisissez jamais de mot de passe sur une page atteinte via un QR.
• En cas de doute sur un e-mail, appelez celui qui l'envoie supposément, à un numéro que vous avez déjà — pas celui du message.

Si les QR sont les vôtres

• Faites-les pointer vers votre propre domaine et écrivez l'adresse en texte en dessous, pour que le client puisse comparer.
• Vérifiez-les chaque jour à l'ouverture. Dix secondes, pourvu que cela devienne une routine.
• Intégrez-les au design ou plastifiez-les : un autocollant par-dessus se remarque bien plus.
• Scannez-les vous-même de temps en temps, et évitez les raccourcisseurs de liens gratuits, qui peuvent expirer ou changer de mains.

Et dites-le à l'équipe en une phrase simple : un QR dans un e-mail est, à lui seul, un signal d'alerte.

Que faire si c'est déjà arrivé

• Vous avez saisi un mot de passe : changez-le aussitôt depuis un autre appareil, fermez les sessions ouvertes et activez l'authentification à deux facteurs.
• Vous avez saisi une carte : appelez la banque tout de suite pour la bloquer et contester les débits.
• Un abonnement a été activé : contactez l'opérateur, demandez la résiliation et le remboursement, et conservez les captures d'écran.
• C'étaient vos QR : photographiez les autocollants avant de les retirer (c'est la preuve), prévenez les clients par une affichette, et déposez plainte.

La séquence complète pour un paiement déjà parti est dans l'article sur les premières 24 heures.

Cet article est une information générale, pas un conseil juridique ou de sécurité pour un cas précis.