Si vous recevez un QR code par mail, ne le scannez pas : c’est très sûrement une arnaque
Les QR code sont très pratiques, mais ils peuvent facilement être détournés pour tenter de vous soutirer des informations ou de l'argent. Envoyés par mail, il y a de très fortes chances qu'ils soient une escroquerie.
Le QR code est né d'un besoin, celui de dépasser les limitations de l'unique système similaire existant à l'époque : le code-barre. Encore présent sur tous nos produits de consommation, il enregistre un maximum de 80 caractères. Le QR code, lui, peut en contenir 7 000 du moment qu'ils sont uniquement numériques, ou 4 300 s'ils sont alphanumériques. Le plus souvent, il est utilisé pour renvoyer vers une page Web. Interface de paiement, informations sur un concert, détails d'une œuvre dans un musée… Tout est possible.
Forcément, des personnes mal intentionnées peuvent s'en servir pour vous escroquer. Coller un faux QR code sur des bornes de recharge électrique est une pratique qui sévit encore en France. Les conséquences de ce qu'on appelle le quishing sont importantes, allant jusqu'à la perte de milliers d'euros. Le carré pixelisé est également un excellent moyen de tromper les systèmes anti-spam de nos boîtes mail. À tel point que 60 % des QR code envoyés par mail sont des arnaques, selon une étude de Cisco Talos.
La majorité des QR code envoyés par mail sont des arnaques, ne les scannez pas
Il est en effet très difficile pour un programme de sécurité d’identifier un QR code frauduleux. Déjà, il doit le repérer dans le contenu du message. Ensuite, il faut le décoder puis analyser les données qu'il contient avant d'enfin conclure s'il représente un danger ou non. Sachant que certains pirates les dissimulent dans une autre image, ce qui complexifie encore plus la tâche. Heureusement pour nous, l'envoi d'un QR code par mail reste assez rare, environ 1 tous les 500 courriers électroniques reçus.
Cela n'empêche pas de faire preuve de prudence. Le plus simple est de les considérer comme des adresses Internet inconnues. Si le code est censé vous renvoyer sur la page d'une enseigne connue par exemple, ne le scannez pas et rendez-vous sur cette dernière directement. Il n'y a en théorie aucune raison de vous demander l'usage d'un QR code par mail. Encore une fois, le bon sens reste la meilleure des protections.
