Un faux QR code est un code qui mène vers une page trompeuse, destinée notamment à voler des identifiants ou des données de paiement. Avant d’ouvrir le lien, contrôlez l’adresse affichée, le contexte du code et toute étiquette ajoutée sur un support officiel.
Un faux QR code est un code qui mène vers une page trompeuse, destinée notamment à voler des identifiants ou des données de paiement. Avant d’ouvrir le lien, contrôlez l’adresse affichée, le contexte du code et toute étiquette ajoutée sur un support officiel.
Une étiquette collée sur le QR code d’un parcmètre peut suffire à détourner un paiement vers un site frauduleux. Ces arnaques exploitent un réflexe quotidien : scanner vite pour accéder à un menu, un document, un réseau Wi‑Fi ou un service. À l’école comme dans l’espace public, quelques vérifications simples permettent de repérer un code suspect, de limiter les risques de quishing et de savoir quoi faire après un scan douteux.
Faux QR code : de quoi parle-t-on exactement ?
Un faux QR code est un code qui conduit vers un contenu trompeur : une fausse page de connexion, un paiement frauduleux ou le téléchargement d’un fichier risqué. Le QR code n’est pas dangereux par nature ; il sert simplement à encoder une information, le plus souvent un lien, dont la destination reste masquée avant le scan. Cybermalveillance.gouv.fr appelle cette pratique le « quishing », c’est-à-dire l’hameçonnage par QR code. L’escroc peut imprimer son propre code, remplacer celui d’une affiche ou coller une étiquette sur un support légitime. Il faut aussi distinguer un code visuellement falsifié, un vrai QR code renvoyant vers un site compromis et une simple erreur d’impression. À l’école, dans les transports, sur un horodateur, un menu de restaurant, un avis de colis ou un prospectus, le même réflexe s’impose : vérifier la destination avant toute action.
Pourquoi un code peut sembler normal tout en étant dangereux
Les carrés noirs d’un QR code ne permettent pas de savoir si le lien est fiable. Un code malveillant peut être parfaitement net, bien imprimé et fonctionner sans erreur. Le danger ne se lit donc pas dans sa qualité graphique, mais dans l’adresse proposée, la demande affichée et le contexte. Un scan qui mène vers un site inconnu, réclame un mot de passe ou impose un paiement mérite un arrêt immédiat.
Les 7 signes pour repérer un faux QR code avant de le scanner
Avant de pointer l’appareil photo, observez le support et demandez-vous si l’action attendue est logique. Ces signaux ne prouvent pas seuls une arnaque, mais leur cumul doit faire renoncer au scan.
- Un autocollant ajouté : une étiquette posée sur une affiche, une borne ou un horodateur peut recouvrir le code d’origine.
- Un code isolé : un papier dans une boîte aux lettres ou un faux avis de passage sans coordonnées vérifiables est suspect.
- L’urgence : une promesse de gain, une menace ou un délai pressant cherche à empêcher la vérification.
- Une action incohérente : un menu ne devrait pas demander un accès bancaire ; une affiche scolaire ne devrait pas exiger un mot de passe personnel.
- Une présentation approximative : fautes, logo flou, couleurs inhabituelles ou nom d’organisme mal écrit doivent alerter.
- Une URL suspecte : l’aperçu montre un domaine inconnu, une orthographe étrange ou un nom sans rapport avec le lieu.
- Une demande sensible : carte bancaire, identifiants, code reçu par message ou installation d’application ne doivent jamais être communiqués à la légère.
Pour un paiement, un restaurant ou une affiche d’établissement, privilégiez toujours un canal connu. Un QR code ne doit pas être l’unique accès à une démarche importante.
Un QR code de stationnement, de restaurant ou de colis mérite-t-il confiance ?
Non, sa présence dans un lieu habituel ne suffit pas à prouver son authenticité. Pour régler un stationnement, préférez l’application officielle, le site saisi manuellement ou le terminal physique. Au restaurant, demandez une carte papier ou vérifiez auprès du personnel. Pour un colis, consultez directement le suivi depuis le site ou l’application du transporteur. Un code peut avoir été recouvert ou remplacé.
Comment scanner un code QR sans exposer vos données
Un QR code fonctionne comme un raccourci : l’appareil photo d’un smartphone lit son motif et propose d’ouvrir l’information encodée, souvent dans le navigateur web. Sur Android comme sur iPhone, l’appareil photo natif suffit généralement. Une application de lecture ne rend pas un lien dangereux sûr ; son intérêt est surtout d’afficher la destination avant l’ouverture.
- Ouvrez l’appareil photo ou un lecteur reconnu.
- Cadrez le QR code, sans valider aussitôt la notification proposée.
- Lisez l’adresse complète et repérez le nom de domaine.
- Comparez ce domaine avec celui de l’organisme, du commerce ou de l’établissement attendu.
- Ouvrez uniquement si le contexte, le nom affiché et la demande sont cohérents.
- Quittez la page si elle réclame un mot de passe, des données bancaires, un code de validation ou l’installation d’une application de façon inattendue.
En cas de doute, recherchez vous-même le service dans votre navigateur ou ouvrez son application officielle plutôt que de suivre le lien du code.
Créer un QR code gratuit n'est pas une preuve de fiabilité
Un générateur peut créer un QR code pour une page légitime comme pour une page frauduleuse : la gratuité ne dit rien de la sécurité. Les codes statiques renvoient directement vers une destination intégrée ; les codes dynamiques peuvent rediriger via un service intermédiaire. Dans un établissement, notez l’adresse de destination, affichez le domaine en clair et contrôlez régulièrement les supports imprimés pour repérer tout ajout non autorisé.
QR code légitime, code douteux ou code malveillant : les différences à connaître
La frontière n’est pas toujours visible au premier regard. Une adresse raccourcie peut masquer la destination finale ; un sous-domaine peut imiter une marque ; une page peut reproduire l’apparence d’une administration ou d’un ENT. Le contrôle du nom de domaine et de la demande formulée reste donc essentiel. Pour les liens sensibles, les enseignants peuvent diffuser à la fois un QR code et un lien cliquable depuis un canal institutionnel déjà connu.
| Type | Contexte | Destination affichée | Demande formulée | Réaction recommandée |
|---|---|---|---|---|
| QR code légitime | Support attendu et identifiable | Domaine cohérent avec l’émetteur | Information ou action proportionnée | Ouvrir avec vigilance |
| QR code douteux | Support imprécis ou incohérent | Adresse raccourcie ou inhabituelle | Action peu claire | Passer par le canal officiel |
| QR code malveillant | Étiquette ajoutée, faux avis ou message alarmant | Faux site ou domaine trompeur | Paiement, accès ou installation | Fermer et signaler |
Les QR codes dans les établissements scolaires : un cas à part
Les affiches Wi-Fi, formulaires d’inscription, ressources de cours et liens vers des applications sont des cibles possibles, car élèves et familles leur accordent spontanément leur confiance. Un adulte référent doit valider les supports. Affichez le domaine en toutes lettres à côté du code, proposez une alternative accessible depuis l’ENT et retirez rapidement tout autocollant ou document qui n’a pas été autorisé.
Que faire après avoir scanné un faux QR code ?
La réaction dépend de ce qui a été fait après le scan. Si vous avez seulement ouvert une page, fermez l’onglet et n’y revenez pas. Si vous avez saisi un identifiant ou un mot de passe, changez sans attendre ce mot de passe depuis le site officiel concerné et activez la double authentification lorsqu’elle est proposée. Si un compte scolaire est touché, prévenez aussi le responsable informatique ou la direction de l’établissement. En cas de carte bancaire, de paiement ou de coordonnées bancaires transmis, contactez immédiatement votre banque. N’installez aucun fichier proposé par la page et conservez des captures d’écran, le support papier et les messages reçus. Pour un SMS ou un numéro frauduleux associé à l’arnaque, le signalement au 33700 est prévu. La plateforme THESEE permet de déposer une plainte en ligne pour des arnaques sur internet, tandis que 17 Cyber oriente les victimes en matière de cybersécurité. Sur Ma Sécurité, il est possible d’échanger avec un gendarme ou un policier 24 h/24 et 7 j/7.
À retenir : un scan n'est pas forcément une compromission
Point de vigilance : avoir scanné un code ne signifie pas automatiquement que le smartphone ou les comptes sont compromis. Si aucune donnée n’a été saisie et qu’aucun fichier ou application n’a été installé, le risque est généralement plus limité. Fermez la page, vérifiez les applications récemment ajoutées et restez attentif à d’éventuels messages inhabituels demandant une action urgente.
Un QR code peut être techniquement valide tout en menant vers un piège. Avant de scanner, observez son support et vérifiez l’adresse proposée par votre téléphone. Après une action suspecte, ne saisissez plus aucune donnée, modifiez vos mots de passe concernés et surveillez vos moyens de paiement. Partagez ces réflexes avec les élèves et les proches.
Réponses à vos questions
Comment scanner un QR code avec un smartphone ?
Ouvrez l’appareil photo de votre smartphone et cadrez le code. Une notification affiche généralement la destination. Ne l’ouvrez pas automatiquement : lisez d’abord le nom de domaine et vérifiez qu’il correspond bien au service attendu. En cas de doute, utilisez plutôt l’application officielle concernée.
Comment fonctionne un QR code ?
Un QR code est un motif graphique qui contient une information lisible par un smartphone, par exemple un lien, un texte ou des coordonnées. L’appareil photo décode ce motif et propose l’action associée. Le code ne garantit pas que la destination est fiable : il faut contrôler le lien proposé.
Comment créer un QR code ?
Choisissez d’abord une destination précise, comme une page d’information ou un formulaire institutionnel. Utilisez ensuite un générateur de QR codes, puis testez le résultat avec plusieurs smartphones. Avant impression, conservez l’adresse exacte, affichez le domaine en clair et prévoyez un lien alternatif pour les personnes qui ne souhaitent pas scanner.
Quel QR code gratuit choisir ?
Le meilleur choix dépend moins du générateur que de la destination. Préférez un code simple qui renvoie vers une adresse stable, appartenant à votre organisation ou clairement identifiable. Vérifiez que le service ne modifie pas la destination après création et testez le code avant de le diffuser sur un support papier.
Faut-il installer une application gratuite pour lire les QR codes ?
Ce n’est généralement pas nécessaire : l’appareil photo natif des smartphones récents peut lire les QR codes. Si vous installez un lecteur, choisissez-le depuis la boutique officielle de votre appareil, examinez les autorisations demandées et évitez les applications qui réclament un accès sans rapport avec la lecture d’un code.
Comment télécharger un QR code gratuit ?
Après avoir créé et vérifié votre code dans un générateur, téléchargez-le dans un format image adapté à votre usage. Gardez une copie du fichier et de l’adresse de destination. Avant toute impression ou publication, scannez le visuel téléchargé afin de confirmer qu’il ouvre bien la page prévue.
Révisé en juillet 2026
Clémentine Raoult-Durand
Rédactrice spécialisée dans les usages pédagogiques du numérique, les objets connectés et la formation tech.
Voir ses guides
