Le quishing est un hameçonnage opéré par QR code : l’image codée mène vers un faux site ou déclenche un téléchargement malveillant. Cybermalveillance.gouv.fr décrit le phénomène comme encore marginal, mais réel, et rappelle la règle de base : vérifier la vraisemblance du lien avant de le suivre. Voici les exemples cités, les gestes de protection et les étapes à suivre en cas de piège.
L’essentiel à retenir
- Le quishing désigne un hameçonnage opéré par QR code, qui peut mener vers un faux site ou faire télécharger un virus.
- Les exemples cités : faux avis de contravention, faux avis de passage de La Poste, faux QR codes sur des parcmètres ou des bornes de recharge, faux codes de confirmation de connexion Office365.
- Avant de suivre le lien d’un QR code, il faut en vérifier la vraisemblance, et s’abstenir de l’ouvrir en cas de doute.
- En cas de piège, il faut faire opposition immédiatement auprès de sa banque si des données de paiement ont été communiquées, garder les preuves et changer ses mots de passe.
Quishing : un hameçonnage par QR code
Un QR code est une image codifiée qui peut contenir un lien ou permettre un téléchargement. Le quishing désigne un hameçonnage opéré par ce moyen. Cybermalveillance.gouv.fr note que les QR codes sont de plus en plus utilisés dans des messages d’hameçonnage pour renforcer leur apparence officielle.
Le site décrit le phénomène comme encore marginal : la menace est relativement mineure, écrit-il, mais réelle. Un QR code malveillant peut aussi faire télécharger un virus.
Les exemples cités par Cybermalveillance
La page cite plusieurs scénarios : de faux avis de contravention, déposés au domicile ou sur les pare-brise de véhicules ; de faux avis de passage de La Poste dans les boîtes aux lettres ; de faux QR codes collés sur des parcmètres ou des bornes de recharge pour véhicules électriques ; et de faux QR codes de confirmation de connexion Office365.
Un QR code n’affiche pas l’adresse qu’il contient : on ne la découvre qu’après l’avoir scanné, ce qui oblige à vérifier le lien avant de l’ouvrir.
Comment s’en protéger
Avant de suivre un lien proposé par un QR code, il faut en vérifier la vraisemblance, et s’abstenir de l’ouvrir en cas de doute. Les autres conseils de Cybermalveillance contre l’hameçonnage valent aussi ici : ne jamais communiquer d’informations sensibles par message ou par téléphone, car aucune organisation sérieuse ne demande des coordonnées bancaires ou des mots de passe de cette façon, et aller sur le site officiel avec un favori que l’on a créé soi-même.
Il faut aussi contrôler l’adresse affichée dans le navigateur, car un seul caractère modifié peut trahir un faux site, utiliser un mot de passe différent et complexe pour chaque site, et activer l’authentification à deux facteurs quand elle existe. En cas de doute sur un message, on peut contacter directement l’organisation par un moyen connu, et non celui qui figure dans le message.
Si l’on est tombé dans le piège
La fiche de Cybermalveillance sur l’hameçonnage donne les étapes. Il faut faire opposition immédiatement auprès de sa banque si l’on a communiqué des données de paiement ou si l’on constate des débits frauduleux, conserver les preuves, notamment le message, et porter plainte à la police, à la gendarmerie ou par écrit au procureur de la République en cas d’usurpation d’identité ou de débits frauduleux. L’aide aux victimes est gratuite, au 116 006.
Il faut aussi changer immédiatement ses mots de passe sur le site concerné et sur tout autre site où l’on avait le même. Les messages suspects peuvent être signalés à Signal Spam, les SMS et MMS au 33 700, et les faux sites à Phishing Initiative. Info Escroqueries répond au 0 805 805 817, gratuitement, du lundi au vendredi de 9 h à 18 h 30. Pour repérer un message frauduleux avant de cliquer, voyez notre réponse sur le SMS frauduleux.
Ce que les pages ne disent pas
La page consacrée au quishing, publiée le 28 mai 2024 et mise à jour le 10 août 2026, ne détaille pas elle-même les étapes à suivre pour une victime : elles figurent dans la fiche sur l’hameçonnage, publiée le 10 janvier 2020 et mise à jour le 7 mai 2026. Aucune de ces pages ne chiffre l’ampleur du phénomène au-delà du qualificatif de marginal.
Pour aller plus loin
Sur les messages frauduleux, voyez nos réponses pour reconnaître un SMS frauduleux et le vrai ou faux sur le code reçu par SMS et la banque, ainsi que notre explicatif sur le rançongiciel.
Pour retrouver nos prochains tests et bons plans en priorité, ajoutez TopActu à vos sources préférées sur Google.
Sources : Cybermalveillance.gouv.fr, Le quishing : l’hameçonnage par QR code, page publiée le 28 mai 2024 et mise à jour le 10 août 2026, consultée le 21 octobre 2026 ; Cybermalveillance.gouv.fr, Que faire en cas de phishing ou hameçonnage ?, fiche publiée le 10 janvier 2020 et mise à jour le 7 mai 2026, consultée le 21 octobre 2026