Vérifier un QR code avant de le scanner

Un QR code est pratique, mais il ne révèle l’adresse réelle qu’après le scan.

Sur une affiche, un colis ou un message, un faux code peut rediriger vers une page douteuse, parfois conçue pour voler des identifiants, des données personnelles ou de l’argent.

Heureusement, quelques réflexes simples permettent de réduire fortement le risque, sans renoncer à la commodité.

Image Pinterest conseillant de vérifier un QR code avant de le scanner

Observer le support avant de scanner

Avant même de sortir votre téléphone, prenez une seconde pour examiner le support. Un QR code peut être remplacé ou “ajouté” par-dessus un autre, surtout dans les lieux publics (transports, halls d’immeubles, commerces, espaces d’attente).

Vérifiez si le QR code semble collé par-dessus un autre élément.
Repérez un autocollant mal aligné, une impression qui tranche avec le reste de la signalétique, ou un support abîmé.
Sur un message, méfiez-vous d’un QR code qui apparaît de manière inattendue (relance urgente, “vous avez gagné”, “dernier rappel”, etc.).

Si le code provient d’un message inattendu, d’un colis non demandé ou d’une promesse trop pressante, le meilleur réflexe est de ne pas l’ouvrir. Les escroqueries misent souvent sur l’urgence pour empêcher les vérifications.

Lire l’adresse avant de continuer

Le scan affiche généralement une URL ou une page de destination avant que vous n’accédiez au contenu. Prenez le temps de la vérifier. De nombreuses attaques utilisent des adresses proches de sites légitimes, mais avec de petites différences (orthographe, sous-domaine, extension, tirets ou caractères ajoutés).

Concrètement :

Contrôlez la forme de l’URL : elle doit correspondre au site attendu.
Méfiez-vous des liens trop courts ou mal orthographiés.
Si l’adresse affichée ne correspond pas à l’organisation annoncée, fermez immédiatement.

Pour les actions sensibles (paiement, connexion, formulaire), le plus sûr consiste à saisir l’adresse officielle vous-même dans le navigateur. Même si le QR code semble “fonctionner”, ce contrôle direct réduit nettement le risque d’être redirigé vers une page frauduleuse.

Ne pas donner trop d’informations

Un QR code ne devrait jamais vous pousser à saisir, sans contexte clair, des données sensibles. Les pages frauduleuses demandent souvent des informations que vous n’auriez aucune raison de fournir via un simple scan.

Soyez particulièrement vigilant si on vous demande :

un mot de passe, un code reçu par SMS, ou des identifiants de connexion ;
les coordonnées bancaires ;
des informations personnelles (numéro d’identité, documents, justificatifs) sans justification explicite.

Si la page exige ce type d’informations et que vous n’êtes pas certain de sa légitimité, stoppez la procédure. Un site fiable fournit généralement un parcours cohérent et reconnaissable, et ne se base pas uniquement sur l’autorité d’un QR code.

Gardez aussi votre téléphone à jour : les navigateurs et systèmes récents bloquent mieux certaines pages dangereuses et signalent davantage les comportements suspects. Activez, si possible, les mises à jour automatiques pour ne pas rester exposé à des vulnérabilités connues.

Infographie avec quatre réflexes avant d'ouvrir un QR code

Signaux d’alerte supplémentaires à repérer

Au-delà de l’adresse, d’autres indices peuvent confirmer le caractère douteux d’un QR code :

Demande d’action immédiate : “scannez maintenant”, “dernière chance”, “compte bloqué”.
Page visuellement incohérente : mise en page floue, fautes d’orthographe, logo modifié, ou design qui ne ressemble pas au site d’origine.
Absence d’informations claires : pas d’éditeur identifié, pas de mentions légales, ou un formulaire sans explication.
Comportement étrange : redirections répétées, demandes d’autorisations inhabituelles, téléchargement automatique.

Si vous observez plusieurs signaux d’alerte à la fois, considérez le QR code comme potentiellement frauduleux et n’insistez pas.

Conclusion

Scanner un QR code n’est pas dangereux en soi : c’est l’usage malveillant qui pose problème. Le bon réflexe consiste à observer le support avant de scanner, vérifier l’adresse affichée après le scan et quitter dès qu’un détail paraît incohérent. En cas de doute, privilégiez la saisie manuelle de l’URL officielle ou la recherche depuis un navigateur plutôt que de suivre le lien proposé.