Quishing : reconnaître les faux QR codes et s’en prémunir en tant qu’entreprise

Le mot quishing associe « QR » et « phishing ». Il désigne une fraude où un QR code mène vers une page qui n’appartient pas à qui vous croyez. Les cas connus sont les codes recouverts sur les horodateurs et les bornes de recharge : quelqu’un colle son propre code sur le vrai, et celui qui scanne arrive sur une fausse page de paiement.

L’astuce fonctionne parce qu’on ne voit pas l’adresse dans un QR code. C’est précisément là que les contre-mesures interviennent, pour les lecteurs comme pour les entreprises.

Comment reconnaître une vraie adresse

Après un scan, l’appli photo affiche l’adresse avant d’ouvrir quoi que ce soit. Lisez-la au lieu de toucher aussitôt. Ce qui compte, c’est la partie entre « https:// » et la première barre oblique : c’est le domaine.

• qr.votreentreprise.fr/menu appartient à votreentreprise.fr. C’est le domaine de l’entreprise.
• votreentreprise.fr.paiement-parking.com appartient en revanche à paiement-parking.com, même si le nom de l’entreprise est devant. C’est la fin du domaine qui compte.
• Méfiez-vous des fautes de frappe, des lettres inversées et des tirets en trop dans le nom.
• Les liens courts de services inconnus cachent la destination. Sur un horodateur ou une facture, c’est une raison de regarder de plus près.
• Si la page réclame tout de suite des données de paiement, des mots de passe ou un téléchargement, la prudence s’impose.

Vérifier sur place avant de scanner

• Passez le doigt sur l’autocollant. Si vous sentez un bord ou pouvez soulever un coin, un second code se cache peut-être dessous.
• Si le code ne ressemble pas au reste de l’affichage, par exemple papier différent, impression différente, pose de travers, méfiez-vous.
• S’il y a une adresse en clair à côté du code, comparez-la avec celle de l’appli photo.
• Dans le doute, tapez l’adresse vous-même ou demandez au personnel. Souvent, on peut aussi payer autrement à l’appareil.

Ce que les entreprises peuvent faire

On ne peut pas empêcher complètement qu’un code soit recouvert, car n’importe qui peut coller un autocollant. Mais vous pouvez rendre beaucoup de choses plus faciles à vérifier.

• Imprimez l’adresse en clair sous le code, bien lisible et assez courte pour être tapée. Quiconque la compare remarque tout de suite un écart.
• Utilisez votre propre sous-domaine, comme qr.votreentreprise.fr, plutôt que le domaine d’un autre. Vos clients apprennent que les vrais codes de votre entreprise commencent toujours par votre nom.
• Contrôlez vos codes régulièrement, par exemple à chaque tour, et inscrivez-le dans un planning fixe.
• Posez les codes de façon que le recouvrement se remarque : imprimés directement sur le support, sous un film de protection ou dans un cadre, plutôt qu’en autocollant libre.
• Prévenez vos clients. Une phrase comme « Nos vrais codes commencent par qr.votreentreprise.fr » sur la carte ou la table aide plus qu’on ne le croit.
• Gardez un œil sur le nombre de scans. Si un code habituellement très scanné tombe soudain presque à zéro, allez voir sur place.

Ce que fait votre propre domaine, et ce qu’il ne fait pas

Un domaine propre n’empêche pas quelqu’un de coller un autre code par-dessus le vôtre. Il aide en revanche à reconnaître le vrai : vos clients voient votre nom dans l’adresse, et un faux code se remarque davantage. Le domaine vous appartient aussi, vous pouvez l’emmener chez un autre fournisseur à tout moment, et les codes imprimés restent valables.

Avec Same-QR, vous choisissez vous-même le chemin en créant un nouveau code, par exemple qr.votreentreprise.fr/menu. C’est court, facile à retenir et simple à imprimer sous le code. Un domaine propre est disponible à partir de Gastro Pro ou Marketing Starter, et les codes existants gardent leur adresse.

Questions fréquentes