Le téléphone peut proposer d'ouvrir le lien avant que vous ayez vraiment vérifié où il mène : c'est là que se loge le risque.
Les bons réflexes
Lisez l'aperçu du lien avant de l'ouvrir : le nom de domaine correspond-il à l'enseigne ? Prenez 2 secondes.
Utilisez l'appareil photo natif du téléphone plutôt qu'un scanner peu connu.
Avant de payer, vérifiez le cadenas et le nom du site.
Gardez le téléphone et ses applications à jour.
Le « quishing » : l'hameçonnage par QR code
Le quishing (QR code + phishing) consiste à remplacer ou à coller un faux QR code pour piéger la victime : faux site de paiement, fausse page de connexion, application malveillante.
Un autocollant collé sur un vrai QR code (borne de parking, menu de restaurant).
Un QR code reçu par mail ou SMS d'un faux livreur ou d'une fausse administration.
Un flyer annonçant un cadeau ou une réduction trop belle.
Les signaux d'alerte
Signaux d'alerte
Réflexes rassurants
QR code isolé, collé ou imprimé sans lien avec son support
QR code intégré à un support officiel (ticket, emballage, site vérifié)
Urgence : « offre limitée », « compte bloqué »
Aucune urgence : vous prenez le temps de vérifier
Lien différent du site officiel (fautes, nom étrange)
Nom de domaine cohérent avec l'enseigne
Demande de mot de passe ou de coordonnées bancaires
Aucune demande de données sensibles
QR code reçu d'un inconnu par SMS ou mail
Expéditeur connu et message attendu
Pour s'entraîner, à son rythme
Scannez un QR code sans l'ouvrir : lisez l'aperçu du lien.
Repérez un QR code dans la rue : est-il collé sur un autre ?
Retrouvez les quatre étapes d'un scan.
À retenir
Lisez le lien avant d'ouvrir.
Appareil photo natif, téléphone à jour.
Méfiance envers un QR code collé, reçu ou pressant.
Jamais de mot de passe ni de carte sur un lien douteux.
Petit lexique
Quishing
Hameçonnage par faux QR code.
Aperçu du lien
Adresse affichée avant l'ouverture.
Domaine
Le nom du site dans l'adresse.
Sources : support de cours de l'atelier Part'âges numériques (Niveau 1, « Les smartphones »).