Codes QR et URL malveillantes

Avec les codes QR, le risque, c'est le lien. Un code n'est qu'un moyen de transporter une adresse web, alors toute la question de la sécurité se ramène à inspecter cette adresse avant de l'ouvrir — repérer les domaines sosies, les raccourcisseurs cachés et les redirections sournoises. Voici comment lire un lien comme un pro. 🐾

Toute habitude de scan sécurisé repose en fin de compte sur une seule compétence : juger une URL. Quand vous savez jeter un œil à une adresse web et sentir si elle appartient bien à qui elle prétend, les codes QR malveillants perdent presque tout leur pouvoir. Le code n'a jamais été la menace ; c'est une enveloppe autour d'un lien, et le lien est ce que vous devez lire. Développons cette compétence en langage clair.

Pourquoi l'URL est toute l'affaire

Un code QR contenant une adresse de site web ne fait rien d'autre que remettre cette adresse à votre téléphone et proposer de l'ouvrir. Il ne peut pas déguiser la destination une fois décodée — le vrai lien est là, à lire. C'est un cadeau, car cela signifie que vous avez toujours une chance d'attraper un mauvais code : prévisualisez le lien, lisez le domaine et décidez. Le hic, c'est que les criminels s'efforcent de faire paraître dignes de confiance des liens dangereux. Pour le contexte plus large, voir un code QR peut-il pirater votre téléphone ?

Comment lire une URL correctement ?

La partie la plus importante de toute adresse web est le domaine — et plus précisément la partie juste avant la première barre oblique simple. Prenez :

https://accounts.google.com.verify-login.xyz/reset

Au premier coup d'œil, on dirait que Google est impliqué. Mais lisez attentivement : le vrai domaine est verify-login.xyz. Tout ce qui le précède (accounts.google.com.) n'est qu'un sous-domaine que l'attaquant a choisi pour vous tromper. La règle : trouvez les deux dernières étiquettes avant la première barre oblique — c'est le vrai domaine. Tout ce qui se trouve à sa gauche peut être falsifié librement.

Quelles astuces rendent les liens malveillants crédibles ?

Domaines sosies

Les attaquants enregistrent des domaines qui ressemblent à une vraie marque :

Substitutions de caractères — paypa1.com (un « 1 » pour un « l »), rnicrosoft.com (« rn » pour « m »).
Mots ajoutés — apple-support-verify.com, amazon-secure-login.net.
Terminaisons erronées — la vraie marque mais un .top, .xyz, ou une terminaison de pays inattendue au lieu de la véritable.
Homoglyphes — des lettres d'autres alphabets identiques en apparence aux latines.

Raccourcisseurs d'URL

Un lien raccourci (comme bit.ly/abc123) masque entièrement la vraie destination. Les raccourcisseurs ont des usages légitimes, mais dans un code QR ils sont un signal d'alerte, car ils vous privent de la capacité de lire le domaine. Si un code scanné aboutit à un simple raccourcisseur, traitez-le avec prudence jusqu'à ce que vous puissiez voir où il mène vraiment. Cela recoupe la façon dont les codes QR dynamiques font passer chaque scan par une redirection dont vous ne pouvez pas voir le contenu.

Chaînes de redirection

Certains liens vous font passer par plusieurs sauts avant d'atterrir sur la page finale. Un service de suivi ou de redirection peut pointer vers un endroit inoffensif aujourd'hui et hostile demain, le tout derrière le même code imprimé. Cette capacité de changement silencieux explique en partie pourquoi les redirections inattendues méritent un examen ; nous abordons les mécanismes dans redirections et suivi des codes QR.

Un aide-mémoire pour juger un lien scanné

Ce que vous voyez	Verdict
Le domaine exact et familier de la marque	Rassurant
Le nom de la marque enfoui dans un sous-domaine d'un autre site	Suspect — lisez le vrai domaine
Légère faute d'orthographe ou mots supplémentaires avec traits d'union	Probablement un sosie
Un simple raccourcisseur d'URL	Destination inconnue — soyez prudent
Terminaison de domaine inhabituelle ou incohérente	Vérifiez avant de faire confiance
Le lien veut télécharger un fichier	Grande prudence — n'installez jamais depuis un code au hasard

Comment inspecter un lien avant d'appuyer dessus ?

Le déroulé pratique est court :

Prévisualisez, n'ouvrez pas. La plupart des appareils photo de téléphone affichent l'adresse décodée avant de la charger. Un scanneur qui vous permet de scanner un code en toute sécurité place d'abord la vraie destination devant vous, pour que vous puissiez la lire posément.
Trouvez le vrai domaine. Repérez la partie juste avant la première barre oblique simple et comparez-la à l'organisation attendue.
Méfiez-vous des raccourcisseurs et des terminaisons bizarres. Si vous ne pouvez pas voir la vraie destination, ne supposez pas qu'elle est sûre.
Ne saisissez jamais de secrets sur un lien dont vous n'êtes pas sûr. Les mots de passe et les données de paiement ne devraient aller que sur des sites vers lesquels vous avez navigué vous-même.

Que faire si je ne sais pas si un lien est sûr ?

En cas de doute, ne passez pas du tout par le code. Ouvrez l'application officielle ou tapez l'adresse que vous connaissez déjà dans votre navigateur. Pour une banque, un service de colis ou votre employeur, aller directement à la source est toujours plus sûr que de faire confiance à un lien qu'un code vous tend — surtout un code inattendu. C'est le même principe qui sous-tend le fait d'éviter les codes QR dans les e-mails d'hameçonnage et les faux codes d'horodateurs.

Vous ne perdez jamais rien à atteindre un site de la manière que vous connaissez déjà. Le code est un raccourci, et les raccourcis sont précisément là où les pièges se placent.

Ancrer l'habitude

Lire les URL paraît fastidieux au début et devient vite automatique. Après une semaine à jeter un œil au domaine avant d'ouvrir quoi que ce soit, vous repérerez un sosie en une fraction de seconde — de la même façon que vous remarqueriez un panneau mal orthographié. Associez cela à notre liste de vérification de sécurité des codes QR complète et vous aurez couvert la grande majorité des risques liés aux QR. Et lorsque vous créez vous-même des codes, vous pouvez créer un code QR gratuit qui encode directement votre vrai lien, pour que les personnes qui le scannent puissent lire exactement où il mène.

Questions fréquentes

Comment trouver le vrai domaine dans une adresse web ?

Regardez la partie juste avant la première barre oblique simple, puis prenez les deux dernières étiquettes de cette section. Dans login.example.com, le vrai domaine est example.com. Tout ce qui est à gauche, comme des noms de marque supplémentaires, peut être falsifié, alors lisez de droite à gauche.

Les raccourcisseurs d'URL dans les codes QR sont-ils toujours mauvais ?

Pas toujours — ils ont des usages légitimes — mais ils masquent la vraie destination, ce qui vous ôte la capacité de la juger. Dans un code QR, surtout inattendu, un simple raccourcisseur est une raison d'être prudent jusqu'à ce que vous puissiez confirmer où il mène réellement.

Qu'est-ce qu'un domaine sosie ?

C'est une adresse web conçue pour ressembler à une marque de confiance, à l'aide de substitutions de caractères, de mots supplémentaires ou de terminaisons inhabituelles — comme paypa1.com ou apple-verify-login.net. Le but est de faire passer l'adresse d'une page d'hameçonnage au premier coup d'œil.

Le lien d'un code QR peut-il changer après son impression ?

Si le code contient une redirection ou un raccourcisseur plutôt qu'un lien direct, alors oui — celui qui contrôle cette redirection peut changer la destination finale en silence. Un code statique avec le vrai lien intégré ne peut pas changer, ce qui est une raison de les préférer.

Quelle est la chose la plus sûre à faire face à un lien suspect ?

Ne l'ouvrez pas. Si vous devez atteindre le service, utilisez son application officielle ou tapez le site que vous connaissez déjà dans votre navigateur. Ne saisissez jamais de mots de passe ni de données de paiement sur une page atteinte depuis un lien scanné que vous n'avez pas pu vérifier.