Le code QR cache la partie banale
Un code QR peut contenir une adresse web, du texte, les paramètres Wi-Fi, une fiche contact ou une demande de paiement. Il n’est pas dangereux par nature : il déplace simplement une information compacte d’un panneau vers votre téléphone.
Le problème est que vous ne pouvez pas facilement lire cette information à l’œil nu. Un lien imprimé permet d’examiner le site avant de l’ouvrir ; un code QR vous demande de faire confiance à la personne qui l’a placé, ou à l’aperçu donné par le téléphone.
Le truc de l’autocollant posé sur le vrai code
Un escroc peut imprimer un code QR et le coller par-dessus un vrai. Horodateurs, tables de restaurant, affiches, consignes de colis et boîtes de dons sont tous des cibles plausibles. Le nouvel autocollant peut sembler assez proche pour être scanné sans examen.
Il peut mener à une fausse page de paiement ou de connexion. Aucune attaque technique n’est nécessaire : un scan pressé suffit. Pour un code important, cherchez un autocollant abîmé, un domaine incohérent ou un autre moyen d’accéder vous-même au service.
Le code QR qui passe d’abord par quelqu’un d’autre
Certains générateurs n’inscrivent pas l’adresse finale dans le code. Ils y mettent d’abord leur propre adresse, puis redirigent chaque scan. L’entreprise peut ainsi les compter, et votre code imprimé dépend alors de son compte et de ses serveurs.
Le problème apparaît plus tard lorsqu’on vous demande un abonnement, un renouvellement ou l’acceptation d’une page intermédiaire pour conserver un code déjà imprimé. Ce n’est pas une propriété des codes QR, mais un choix commercial du générateur.
Pour un paiement, la pause compte le plus
Un QR de paiement peut ouvrir une banque, un portefeuille ou un formulaire web avec un bénéficiaire et un montant. Traitez-le comme une demande d’un inconnu : vérifiez qui reçoit l’argent et ne donnez pas de données de carte ou de connexion parce que le code se trouve sur un objet familier.
Pour une facture, un billet ou un stationnement, utilisez plutôt l’appli du prestataire ou saisissez vous-même le site connu lorsque c’est possible. Si un scan réclame des frais inattendus, un mot de passe ou un téléchargement urgent, fermez-le et repartez d’un chemin fiable.
Créer des codes sans intermédiaire
Lorsque vous créez un code, encodez directement la destination finale et testez-le avec un second téléphone avant de l’imprimer. Il restera utile même si le générateur disparaît et vous ne confierez pas les données de scan à une entreprise de redirection sans rapport.
Le générateur de codes QR de Sealby crée des codes directs localement dans le navigateur. Il n’ajoute ni redirection ni suivi Sealby. Cela ne rend pas une destination sûre par magie ; cela signifie seulement que le code dit exactement ce que vous vouliez lui faire dire.