QR code suspect : lisez-le sans l'ouvrir
Un QR code collé sur un horodateur, un avis de passage, un SMS qui parle de colis ou d'amende : avant d'ouvrir le lien, vérifiez où il mène. L'outil lit le QR code dans votre navigateur, affiche l'adresse sans la visiter, et explique ce qui cloche. Gratuit, sans inscription.
Vérifier un QR code ou un lien
Lecteur de QR code et de lien suspects · gratuit, sans inscription
L'image est lue par votre navigateur et n'est envoyée nulle part. Le lien n'est jamais ouvert : l'outil le lit, il ne le visite pas.
Cet outil a besoin de JavaScript, désactivé dans votre navigateur.
Ce que l'outil vérifie
- Le vrai site : l'adresse est découpée pour montrer le nom réellement enregistré, celui qui compte. Dans « ameli.fr.remboursement-securise.com », le site est remboursement-securise.com, pas ameli.fr.
- L'imitation d'un organisme : Ameli, les impôts, l'ANTAI, la CAF, La Poste, Chronopost, les grandes banques. Un lien qui les évoque sans mener à leur site officiel est signalé.
- Les noms presque identiques : une lettre changée, ajoutée ou doublée, « rn » à la place de « m », un caractère d'un autre alphabet qui imite une lettre latine.
- Les liens raccourcis, qui cachent leur destination, les adresses numériques et les liens sans chiffrement.
- Les QR codes qui ne sont pas des liens : un numéro de téléphone à appeler, un SMS à envoyer, un réseau Wi-Fi auquel se connecter.
Les arnaques au QR code
Le procédé est simple : un faux QR code est collé par-dessus le vrai, ou envoyé par courrier, et mène à une page qui imite un service connu pour encaisser un paiement ou récupérer vos coordonnées bancaires. Des autocollants de ce genre ont été signalés sur des horodateurs à Marseille et à Nice.
Pour payer un stationnement, utilisez l'horodateur lui-même ou l'application officielle de votre ville, installée depuis le magasin d'applications de votre téléphone, plutôt qu'un QR code collé sur la machine.
Ce que l'outil ne peut pas savoir
Il lit l'adresse, il ne visite pas la page. Il ne connaît donc ni l'âge du site, ni la vraie destination d'un lien raccourci, ni le contenu de la page. Un site d'arnaque tout neuf, au nom sans rapport avec une marque, ne laisse aucune trace dans son adresse : un lien « sans signal d'alerte » n'est pas un lien garanti.
La règle qui protège de tout : pour payer ou vous connecter, tapez vous-même l'adresse du site officiel, ou passez par son application.
Aller plus loin
- Analyser un e-mail suspect avant de cliquer
- Vérifier si votre mot de passe a été piraté
- Clubic : les faux QR codes sur les horodateurs de Marseille
- Votre audit OSINT gratuit : ce que le web sait de vous
Questions fréquentes
Comment savoir si un QR code est une arnaque ?
Lisez l'adresse avant de l'ouvrir. Si elle évoque un organisme sans mener à son site officiel, si elle est raccourcie ou si le QR code est un autocollant posé par-dessus un autre, ne l'ouvrez pas. Cet outil affiche l'adresse sans la visiter et explique ce qui inquiète.
Scanner un QR code peut-il pirater mon téléphone ?
Scanner seul ne fait qu'afficher une adresse. Le danger vient de ce que vous faites ensuite : ouvrir la page, y taper vos coordonnées bancaires ou un mot de passe, installer une application proposée par la page.
Ma photo est-elle envoyée quelque part ?
Non. Le QR code est lu dans votre navigateur, et l'adresse trouvée n'est ni ouverte ni envoyée : l'outil la lit, il ne la visite pas.
À propos de l'auteur
Pierre Billard
Fondateur d'AuditOSINT
Pierre Billard est développeur web et fondateur de Super Webmaster, la société qui édite AuditOSINT et NetClearer. Il travaille depuis 2018 sur le référencement, le déréférencement et la maîtrise de ce que le web publie sur une personne.