Quishing: qu’est-ce que le phishing par code QR?
Le phishing par code QR, ou quishing, permet aux cybercriminels d’inciter des victimes potentielles à se rendre sur un site frauduleux au moyen d’un code QR, afin de dérober leurs données d’accès ou des informations sur leur carte de crédit ou encore de propager des logiciels malveillants.
Les escrocs apposent les codes QR à des endroits où les utilisatrices et utilisateurs s’attendraient normalement à voir un tel code.
Exemples typiques:
- Horodateurs
- Parcmètres
- Stations de recharge pour véhicules électriques
- Stations-service
- Distributeurs de billets
- Affiches de collecte de dons
- Vitrines
- Restaurants
- Courriers ou invitations à retirer un envoi postal déposés dans des boîtes aux lettres
Une autre forme d’arnaque consiste à manipuler des QR-factures afin que la victime transfère le montant de la facture sur un faux compte en croyant régler une somme réellement due. Cette pratique est également appelée «vol par diversion» («diversion theft») Il ne s’agit pas d’une forme de phishing à proprement parler, car aucune donnée n’est dérobée.
Codes QR collés sur des parcmètres (juillet 2026): dans la ville de Zoug, des escrocs collent des codes QR d’hameçonnage sur des parcmètres près de la fente d’insertion des pièces. Ces faux codes QR renvoient à une page de paiement ayant l’apparence d’une page authentique, qui permettent aux escrocs de s’emparer des données de paiement des utilisatrices et utilisateurs.
Fausses invitations à retirer un envoi postal (juin 2026): en Suisse romande, des escrocs déposent dans des boîtes aux lettres de fausses invitations à retirer un envoi (avis de passage) au nom de la Poste Suisse. Le code QR figurant sur ces invitations renvoie vers un faux site Internet de la Poste, où il est demandé à la victime de fournir des données personnelles et de payer une prétendue taxe impayée de 2,10 francs, permettant ainsi aux escrocs de récupérer les données de sa carte de crédit.
Piratage de comptes WhatsApp au moyen d’un code QR (mai 2026): les victimes sont invitées par une prétendue connaissance à voter pour l’enfant de cette dernière dans le cadre d’un concours. Quiconque clique sur le lien reçu puis saisit un code de vérification ou scanne un code QR spécial sur le site web frauduleux perd l’accès à son compte WhatsApp.
Codes QR dans des e-mails d’entreprises (depuis 2025): des escrocs envoient par exemple des e-mails au nom de Microsoft 365 ou de DocuSign, en pressant leurs victimes de signer un document via une plateforme telle que DocuSign. Le code QR que celui-ci contient renvoie vers de faux portails de connexion de Microsoft 365, de réseaux internes ou de prestataires de services financiers.
E-mails d’hameçonnage contenant une fausse facture à code QR (août 2022): des escrocs envoient au nom de Sunrise des e-mails à l’apparence très crédible contenant une fausse facture et un code QR. Toute personne qui scanne le code QR ou clique sur le lien est redirigée vers une fausse page de paiement.
Fausse facture avec code QR (janvier 2023): l’Office fédéral de la cybersécurité (OFCS) met en garde contre des e-mails professionnels frauduleux contenant des factures présentant un faux code QR. Dans ces e-mails, les escrocs informent leurs victimes potentielles que les coordonnées bancaires du destinataire ont changé.
Avec la cyberassurance de la Mobilière, vous jouez la carte de la sécurité.
Si vous êtes victime d’hameçonnage, la cyberassurance de la Mobilière est là pour vous aider. Apprenez-en plus sur la cyberassurance ou calculez votre prime d’assurance directement et sans engagement. Prenez ensuite votre décision en toute tranquillité.
Comment reconnaître un cas de quishing et une arnaque au code QR et comment m’en protéger?
Lorsque vous scannez un code QR avec l’application Caméra de votre smartphone, l’URL de la page de destination s’affiche. Avant d’ouvrir cette page, vérifiez d’abord que l’URL indiquée correspond à celle de l’organisation qui vous a envoyé le code QR. Prêtez particulièrement attention aux éléments suivants:
- Le nom de l’organisation figure bien au début du lien.
Nom de l’organisation: «Parkingpay»; correct: «parkingpay.ch», faux: «parking-bezahlen-zug.ch»
- Le nom de l’organisation est correctement orthographié et se trouve juste avant l’extension du domaine.
Nom de l’organisation: «La Poste Suisse»; correct: «post.ch», faux: «p0st.ch», faux: «post-ch-paket.info»
- Le nom de l’organisation est suivi de l’extension de domaine «.ch», «.com» ou «.swiss» (ne s’applique pas dans tous les cas).
Extensions de domaine fréquentes de sites web frauduleux: «.top», «.xyz», «.cc», «.info», «.online» ou «.net».
Ne saisissez jamais vos données de connexion ou de carte de crédit sur une page de destination à laquelle vous avez accédé via un code QR. Utilisez plutôt l’application officielle de l’organisation concernée ou entrez l’adresse de cette dernière directement dans votre navigateur Internet.
Scannez des codes QR Twint uniquement à l’aide de l’application Twint, surtout lorsqu’un autocollant vous invite à scanner un soi-disant code QR Twint avec l’application Caméra de votre smartphone. D’une manière générale, ne saisissez jamais vos données d’accès Twint en dehors de l’application Twint. En savoir plus sur les arnaques liées à Twint
Signalez les codes QR frauduleux dans l’espace public à la police locale, les codes QR dans l’espace privé à l’organisation compétente et les e-mails de phishing à l’Office fédéral de la cybersécurité (OFCS).
Questions et réponses
1. Faites bloquer le service concerné.
A. Données de carte de crédit: faites immédiatement bloquer la carte concernée en appelant le numéro d’urgence figurant au verso.
B. Connexion à l’e-banking: bloquez immédiatement le compte en question en appelant la hotline de votre établissement financier.
C. Connexion Twint: bloquez immédiatement votre compte Twint en appelant la hotline de votre banque émettrice de l’application Twint.
Important: informez également votre établissement financier par téléphone si vous avez pu bloquer votre carte de crédit, votre compte d’e-banking ou votre compte Twint d’une autre manière. La banque doit être informée le plus rapidement possible de l’incident et de tout virement frauduleux.
D. Logiciels installés: déconnectez immédiatement l’appareil concerné d’Internet. Demandez à un prestataire informatique spécialisé de supprimer le logiciel malveillant de votre appareil.
2. Signalez l’incident à l’Office fédéral de la cybersécurité.
3. Si vous avez subi un préjudice financier, déclarez le cyberdélit à la police.
4. Si vous avez une assurance, déclarez le sinistre à votre cyberassurance à la Mobilière.
Le simple fait de scanner un code QR de phishing est généralement sans danger. Le risque survient lorsque vous saisissez des données sur la page de destination, confirmez quelque chose ou installez un programme.
Si vous avez déjà effectué l’une de ces actions, suivez les étapes indiquées dans la dernière réponse. Si ce n’est pas le cas, fermez simplement la page, sans rien saisir, ni rien confirmer, ni rien télécharger.
L’application Caméra intégrée à Android ou iOS est suffisante et sûre, car elle affiche l’URL de destination avant son ouverture, ce qui vous permet de la vérifier. En revanche, les applications de scanner supplémentaires disponibles dans les boutiques d’applications n’offrent guère de valeur ajoutée et peuvent contenir de la publicité ou des fonctions de suivi. Ce qui est important, ce n’est donc pas l’application utilisée, mais le fait de vérifier l’URL avant de cliquer dessus.
Lorsque le dommage n’est pas couvert par l’établissement financier concerné et que la protection juridique ne parvient pas à récupérer l’argent, la cyberassurance de la Mobilière examine la possibilité d’une indemnisation pouvant aller jusqu’à 20 000 francs.
Le quishing, ou hameçonnage par code QR, est une forme particulière de phishing qui incite la victime potentielle à consulter un site web falsifié au moyen d’un code QR. Dans le cas du phishing classique, la victime accède généralement à un site frauduleux via un «lien normal» contenu dans un message.
