Comment les attaquants recouvrent d'un autocollant les codes QR légitimes

Une attaque par autocollant sur code QR est d'une simplicité désarmante : un criminel imprime un code malveillant sur un autocollant et le place par-dessus un vrai. Aucun piratage requis — juste décoller et appuyer. Comme le faux paraît identique, les seules défenses sont de remarquer la falsification et de lire le lien. Voici comment fonctionnent ces attaques par recouvrement et comment les neutraliser. 🐾

De toutes les arnaques aux QR, le recouvrement par autocollant est la plus physique et la plus discrètement efficace. Aucun e-mail à filtrer, aucun logiciel à exploiter — juste un petit carré adhésif placé là où les gens font déjà confiance au code en dessous. Pour les escrocs, c'est bon marché, rapide et difficile à retracer. Pour nous autres, la bonne nouvelle est qu'un peu de vigilance change beaucoup de choses.

Qu'est-ce qu'une attaque par recouvrement de code QR ?

Une attaque par recouvrement remplace un code QR légitime par un code malveillant en le couvrant physiquement. L'attaquant imprime son propre code — un code renvoyant vers une page d'hameçonnage, un faux site de paiement ou un téléchargement malveillant — sur un autocollant, puis l'applique directement sur le vrai code d'un panneau, d'une machine ou d'un produit. Quiconque scanne obtient la destination de l'attaquant tout en croyant utiliser le code officiel.

Comme le résultat est un lien hostile, il s'agit d'une forme de quishing (hameçonnage par code QR). Ce qui la distingue, c'est le mode de livraison : le piège est placé dans le monde physique, par-dessus quelque chose auquel vous faites déjà confiance.

Le génie et la faiblesse de l'attaque par autocollant ne font qu'un : elle se produit au grand jour. N'importe qui peut en poser un — et n'importe qui d'attentif peut en repérer un.

Où les attaques par autocollant se produisent-elles ?

Les attaques par recouvrement privilégient les codes publics, sans surveillance, et censés être scannés :

Cible	Pourquoi elle est choisie
Horodateurs et bornes de paiement	Sans surveillance, le paiement par scan est normal, les gens sont pressés
Bornes de recharge électrique	Emplacements isolés, paiement attendu
Tables et menus de restaurant	Les codes non fixés sont faciles à échanger sans se faire remarquer
Affiches et prospectus	Murs publics ; un autocollant se fond dans un visuel chargé
Signalétique de transport et d'information	Le contexte officiel de confiance prête une fausse crédibilité
Emballages de produits en rayon	Faux codes « enregistrez votre produit » ou « réduction »

Le stationnement est une cible si fréquente que nous lui avons consacré son propre guide : faux codes QR sur les horodateurs et autres arnaques bien réelles.

Comment repérer un code recouvert d'un autocollant ?

La falsification laisse généralement des traces subtiles. Avant de scanner un code dans un lieu public, prenez deux secondes pour le regarder physiquement.

Est-ce bien un autocollant ? Un code authentique est souvent imprimé directement dans le panneau, la plaque ou le menu. Une étiquette adhésive séparée mérite réflexion.
Bords qui se décollent ou relevés. Un autocollant appliqué sur un autre autocollant a souvent des coins légèrement soulevés.
Mauvais alignement. Le faux peut être posé de travers ou recouvrir une partie du texte ou du logo environnant.
Finition qui ne correspond pas. Papier, brillance ou couleur différents du reste du support imprimé.
Une couche visible en dessous. Parfois, on aperçoit le bord du vrai code qui dépasse.

Si un code paraît rapporté et que vous pouvez le décoller pour révéler un autre code en dessous, c'est une preuve quasi certaine d'une attaque — laissez-le en place, ne le scannez pas et prévenez l'établissement.

La défense décisive : lire le lien

L'inspection physique démasque de nombreux recouvrements, mais le filet de sécurité fiable est toujours le même : prévisualisez la destination avant de l'ouvrir. Même un autocollant parfaitement appliqué ne peut pas cacher où mène réellement son code une fois décodé. Quand vous scannez, lisez le domaine et demandez-vous s'il appartient au véritable opérateur. Un scanneur qui vous permet de scanner un code en toute sécurité et affiche d'abord la vraie destination transforme le lien invisible en un lien que vous pouvez juger. Pour les détails de la lecture d'une adresse, voir codes QR et URL malveillantes.

Que peuvent faire les entreprises pour défendre leurs codes ?

Si vous gérez un établissement ou exploitez des machines munies de codes, vous êtes une cible aussi — et vous pouvez rendre les recouvrements plus difficiles et plus visibles.

Rendez les codes inviolables. Plastifiez-les, imprimez-les dans la surface, ou utilisez des étiquettes à indice d'effraction qui se brisent visiblement si on les décolle.
Intégrez le code au design. Un code inséré dans les logos et l'identité visuelle est plus difficile à recouvrir proprement qu'un simple carré dans un coin.
Inspectez régulièrement. Formez le personnel à vérifier les codes à forte valeur (paiement, stationnement, tables) à la recherche d'autocollants, dans le cadre de la routine.
Affichez le vrai domaine. Imprimez l'adresse web officielle à côté du code pour que les clients puissent confirmer que la destination correspond.
Proposez une alternative. Une application nommée ou une URL courte et facile à retenir offre aux clients un moyen de payer qui ne dépend pas du code physique.
Privilégiez les codes statiques avec votre vrai lien. Une destination encodée directement sur votre propre domaine est facile à vérifier pour les clients. Vous pouvez créer un code QR gratuit qui fait exactement cela.

Que faire si j'en trouve un ?

Si vous repérez un recouvrement suspect :

Ne le scannez pas, ou si vous l'avez déjà fait, ne saisissez aucune information.
Photographiez-le en place comme preuve, si vous pouvez le faire en toute sécurité.
Prévenez immédiatement l'établissement ou l'opérateur afin qu'il puisse le retirer et avertir les autres.
Signalez-le à l'organisme de lutte contre la fraude ou de protection des consommateurs compétent. Notre guide sur le signalement d'un code QR malveillant indique qui contacter.

Garder les choses en perspective

Les attaques par autocollant sont réelles, mais elles comptent aussi parmi les arnaques les plus faciles à déjouer une fois que vous en connaissez l'existence. Un coup d'œil à la surface du code et une lecture du lien décodé les neutralisent presque toutes, et ni l'un ni l'autre ne prend plus de quelques secondes. Combinez ces deux habitudes — réunies dans notre liste de vérification de sécurité des codes QR — et un faux collé devient quelque chose que vous remarquez plutôt que quelque chose auquel vous vous laissez prendre.

Questions fréquentes

Comment savoir si un code QR a été falsifié ?

Cherchez un autocollant posé sur la surface, surtout avec des bords qui se décollent, un alignement de travers, une finition qui ne correspond pas, ou un autre code visible en dessous. Un code authentique est souvent imprimé directement dans le panneau ou la plaque plutôt qu'ajouté sous forme d'étiquette rapportée.

Pourquoi les attaques par autocollant sont-elles si efficaces ?

Elles ne demandent aucune compétence technique et exploitent la confiance envers un lieu que les gens utilisent déjà — un horodateur, un menu, une affiche. Le faux code paraît identique au vrai, alors l'arnaque repose entièrement sur le fait que les victimes n'inspectent pas l'autocollant ni ne lisent le lien.

Puis-je simplement décoller un autocollant suspect ?

Il vaut mieux le laisser en place et le signaler, pour que l'établissement puisse le conserver et avertir les autres, mais si vous soulevez un coin et voyez un autre code en dessous, cela confirme la falsification. Dans tous les cas, ne le scannez pas et prévenez l'opérateur.

Comment une entreprise peut-elle protéger ses codes QR contre les recouvrements ?

Utilisez des étiquettes à indice d'effraction ou plastifiées, imprimez les codes dans la surface ou l'identité visuelle, inspectez régulièrement les codes à forte valeur et affichez l'adresse web officielle à côté de chaque code pour que les clients puissent confirmer la destination. Proposer une application ou une URL connue comme alternative aide aussi.

Prévisualiser le lien me protège-t-il même si l'autocollant paraît parfait ?

Oui. Aussi convaincant soit son application, décoder le code d'un autocollant révèle la vraie destination. Lire ce lien et vérifier le domaine vous permet de démasquer un recouvrement que vous n'auriez pas pu détecter à l'œil seul.