Comment signaler un code QR malveillant

Vous avez trouvé un code QR malveillant — un autocollant collé sur un horodateur, un code douteux dans un e-mail, une demande de paiement frauduleuse ? Bien le signaler contribue à le faire retirer, met en garde d'autres personnes et fournit une piste aux enquêteurs. Voici un guide calme et pratique pour préserver les preuves et prévenir les bonnes personnes. 🐾

Quand on repère un code QR frauduleux, le premier réflexe est de passer son chemin et d'oublier. Mais quelques minutes de signalement peuvent protéger la prochaine personne qui scanne, inciter un établissement à retirer un autocollant malveillant et alimenter en données sur la fraude ceux qui traquent ces stratagèmes. Ce guide détaille ce qu'il faut faire, dans l'ordre, que vous soyez tombé dans le piège ou non.

D'abord : vous ou vos comptes êtes-vous en danger ?

Avant de signaler, gérez tout préjudice immédiat. Si vous avez saisi des informations ou envoyé de l'argent :

Mots de passe : changez immédiatement le mot de passe concerné, et partout où vous l'avez réutilisé. Activez l'authentification multifacteur.
Coordonnées bancaires ou de carte : contactez votre banque sans attendre pour bloquer la carte et surveiller la fraude.
Cryptomonnaie : arrêtez tout nouveau transfert et rassemblez les détails de la transaction — voyez les codes QR et les arnaques aux cryptomonnaies.
Une application ou un fichier téléchargé : supprimez-le et lancez une analyse de sécurité ; gardez votre téléphone à jour.

Une fois hors de danger, passez à la préservation des preuves et au signalement.

Étape 1 : préserver les preuves

De bonnes preuves rendent un signalement exploitable. Capturez ce que vous pouvez avant que quoi que ce soit ne change :

Situation	Ce qu'il faut capturer
Autocollant / surimpression physique	Des photos du code en place, du panneau environnant et de l'emplacement ; notez l'endroit exact
E-mail ou message	Ne le supprimez pas ; notez l'adresse de l'expéditeur et conservez les en-têtes complets si possible
Le lien de destination	L'URL décodée (faites une capture de l'aperçu) — mais ne saisissez aucune information sur la page
Paiement / cryptomonnaie	L'adresse, le montant, l'heure et tout identifiant de transaction
Toute correspondance	Des captures d'écran des messages, des noms et des numéros de téléphone utilisés

Lire et enregistrer la destination est plus simple avec un scanneur qui permet de scanner un code en toute sécurité et affiche le vrai lien sans l'ouvrir. Capturez l'URL ; n'interagissez pas avec la page. Pour vous aider à interpréter ce que vous voyez, consultez les codes QR et les URL malveillantes.

Photographiez d'abord, signalez ensuite. Une preuve montrant l'autocollant en place et le lien vers lequel il menait est bien plus utile qu'une description de mémoire.

Étape 2 : prévenir l'établissement ou la marque usurpée

Le moyen le plus rapide d'arrêter le préjudice est souvent de prévenir le propriétaire du lieu ou la marque dont l'identité est usurpée.

Surimpressions physiques : prévenez le commerce, l'exploitant du parking ou le gestionnaire des lieux sur place si vous le pouvez, et ne retirez pas l'autocollant vous-même — ils voudront peut-être le conserver. Voyez les attaques par autocollant de code QR.
Entreprises usurpées : les banques, les transporteurs et les grands services disposent en général d'un contact « signaler un hameçonnage » ou fraude. Utilisez l'adresse figurant sur leur site officiel — accédez-y en tapant l'adresse connue, pas via le message suspect.
Codes en milieu professionnel : transférez les e-mails suspects à votre équipe informatique ou sécurité, ou utilisez le bouton « signaler un hameçonnage » de votre messagerie. C'est expliqué dans les codes QR dans les e-mails d'hameçonnage.

Étape 3 : signaler aux organismes de protection des consommateurs et de lutte contre la fraude

Chaque pays dispose d'organismes qui recueillent les signalements d'arnaques et de fraudes. Vous n'avez pas besoin de connaître le nom exact de l'agence — rechercher « signaler une arnaque » suivi de votre pays vous orientera vers l'organisme officiel. De façon générale, cherchez :

Les services nationaux de signalement de la fraude ou de la cybercriminalité — le principal point de collecte des arnaques et fraudes en ligne dans votre pays.
Les agences de protection des consommateurs — qui suivent les pratiques trompeuses et les tendances d'arnaques.
Les régulateurs financiers ou le service anti-fraude de votre banque — si de l'argent ou des données de carte sont en jeu.
La police locale — en particulier pour une surimpression physique dans un lieu public précis, ou lorsque vous avez perdu de l'argent.

Fournissez les preuves que vous avez préservées : les photos, le lien décodé, les coordonnées de l'expéditeur et les éventuels montants. Plus le signalement est concret, plus il est utile.

Étape 4 : signaler aux plateformes concernées

Les arnaques numériques s'appuient souvent sur des services légitimes, qui souhaitent en général qu'on les leur signale :

Fournisseurs de messagerie — utilisez « signaler un hameçonnage » pour que les filtres s'améliorent pour tout le monde.
Applications de messagerie et réseaux sociaux — signalez le message ou le compte frauduleux.
Le service d'hébergement ou de raccourcissement d'URL — beaucoup permettent de signaler une URL abusive, ce qui peut faire retirer la page malveillante.
Les boutiques d'applications — si le code poussait une fausse application, signalez la fiche.
Les plateformes d'échange de cryptomonnaies — si un portefeuille ou une plateforme était impliqué, signalez l'adresse.

Étape 5 : mettre en garde les autres

Des avertissements discrets et pratiques aident votre entourage :

Prévenez les amis, la famille ou les collègues susceptibles de rencontrer la même arnaque, surtout dans un lieu de travail ou un quartier partagé.
S'il s'agissait d'une surimpression publique, un message à un groupe communautaire local peut inciter d'autres personnes à vérifier cet horodateur ou cette borne.
Partagez la leçon générale, sans semer la panique : prévisualisez le lien, vérifiez la source, n'agissez pas sous la pression.

Quelles informations un bon signalement doit-il contenir ?

À inclure	Pourquoi
Où et quand vous l'avez trouvé	Aide à localiser et retirer les surimpressions physiques
L'URL de destination décodée	Permet aux enquêteurs et aux hébergeurs d'agir sur la page malveillante
Des photos ou captures d'écran	Une preuve concrète et difficile à contester
Ce que l'arnaque demandait	Clarifie le type de fraude
Les éventuelles pertes et détails de transaction	Nécessaires au suivi financier et pénal

La vue d'ensemble

Signaler un code malveillant n'a rarement rien de spectaculaire, mais c'est bel et bien ainsi que ces arnaques sont démantelées — un autocollant retiré ici, un domaine bloqué là, un schéma repéré par les enquêteurs. Vous ne vous protégez pas seulement vous-même ; vous rendez l'environnement un peu plus sûr pour tous ceux qui scanneront après vous. Pour aiguiser votre instinct et repérer d'emblée les mauvais codes, revoyez notre liste de vérification de sécurité des codes QR et notre explication sur ce qu'est le quishing. Et lorsque vous avez besoin de vos propres codes, vous pouvez créer un code QR gratuit qui pointe ouvertement vers votre vrai lien — le genre honnête qu'il n'y a jamais lieu de signaler.

Questions fréquentes

À qui signaler un code QR malveillant ?

Commencez par le propriétaire du lieu ou la marque usurpée, puis signalez-le au service de lutte contre la fraude ou la cybercriminalité de votre pays et à toute plateforme concernée (fournisseur de messagerie, boutique d'applications ou hébergeur). Si de l'argent était en jeu, contactez aussi votre banque et la police.

Dois-je retirer un autocollant frauduleux que je trouve ?

Il vaut généralement mieux le laisser en place, le photographier et prévenir l'établissement ou l'exploitant pour qu'il puisse le conserver comme preuve et le retirer proprement. Si vous le manipulez, gardez-le intact, mais ne le scannez pas et ne saisissez aucune information.

Quelles preuves dois-je recueillir ?

Des photos d'un code physique et de son emplacement, le lien de destination décodé, les coordonnées de l'expéditeur pour un e-mail ou un message, et toute information de paiement ou de transaction. Capturez l'URL sans rien saisir sur la page.

Cela vaut-il la peine de signaler si je n'ai rien perdu ?

Oui. Signaler un code que vous avez repéré sans y tomber contribue à le faire retirer et met en garde les autres avant qu'ils ne se fassent piéger. Cela fournit aussi aux enquêteurs des données pour suivre les schémas d'arnaques, si bien que même le signalement d'une quasi-victime est précieux.

Comment signaler un lien malveillant en toute sécurité ?

Prévisualisez le code pour capturer l'URL décodée sans ouvrir la page, puis incluez ce lien dans votre signalement à la plateforme, à l'hébergeur ou à l'organisme anti-fraude concerné. Ne saisissez jamais d'identifiants ni de coordonnées de paiement sur la page pendant que vous rassemblez les preuves.