Les QR codes sont-ils sûrs ? Ce qu'un scan peut et ne peut pas faire

Ce qu'un QR code contient vraiment

Un QR code est une façon d'écrire du texte. Le motif encode quelques centaines de caractères — presque toujours une adresse web, parfois un numéro de téléphone, un mot de passe Wi-Fi ou des coordonnées. C'est tout le contenu. Il n'y a ni programme, ni pièce jointe, ni rien d'exécutable à l'intérieur.

Cela pose une limite nette à ce qu'un QR code peut vous faire. Un lecteur lit le texte et le transmet à votre téléphone, et la suite est ce que votre téléphone fait d'un texte de ce type. Pour une adresse web, cela signifie proposer de l'ouvrir.

Ce qu'un scan ne peut pas faire

Les limites ci-dessous en découlent directement. Aucune ne dépend d'un téléphone à jour, d'une appli de sécurité ou d'une prudence particulière — ce sont les conséquences d'un format qui ne contient que du texte.

• Il ne peut pas installer une appli. Installer passe par le magasin d'applications et votre confirmation.
• Il ne peut pas lancer un programme. Il n'y a rien d'exécutable à lancer.
• Il ne peut pas lire vos contacts, photos ou messages. Le scanner est un appareil photo qui lit une image.
• Il ne peut pas prélever un paiement. Il faut votre appli bancaire et votre authentification.
• Il ne peut pas dire à la personne qui l'a imprimé qui vous êtes. Un code statique n'a aucune idée qu'il a été scanné.

Le vrai risque, c'est la destination

Un QR code est un lien que vous ne pouvez pas lire. Voilà le résumé honnête. À l'écran, vous pouvez survoler un lien et voir où il mène, mais un carré imprimé ne dit rien tant que l'appareil photo n'est pas déjà pointé dessus.

Donc chaque risque lié aux QR codes est un risque lié aux liens : une page qui imite votre banque et vous demande de vous connecter, un faux formulaire de paiement parking ou de livraison, une page qui pousse à installer quelque chose hors du magasin d'applications. La technique a un nom désormais — le quishing — mais rien n'est nouveau. Le code est l'enveloppe, pas la menace.

Ce que le format ajoute vraiment, c'est la confiance par l'emplacement. Un autocollant sur un horodateur ou une table de bistro emprunte la crédibilité de la surface où il est collé, et c'est exactement ce qui le fait marcher.

Autocollant sur autocollant

L'attaque réelle la plus courante est physique plutôt que technique. Quelqu'un imprime un code et le colle par-dessus le code légitime d'un horodateur, d'une borne de recharge, d'une affiche ou d'un terminal de paiement. La surface a toujours l'air officielle, parce qu'elle l'est. Seul le carré a changé.

La vérification prend une seconde : passez un doigt sur le code. Un autocollant posé sur une surface imprimée a un bord que l'on sent, et souvent un léger décalage de couleur ou de brillance. Dès qu'il y a de l'argent en jeu, ce geste vaut la peine.

Scanner en sécurité

Presque tout se résume à une habitude : regarder la destination avant d'appuyer. Le reste, c'est savoir dans quelles situations un coup d'œil ne suffit pas.

• Lisez l'aperçu avant d'ouvrir. Si le domaine n'est pas celui que vous attendiez, arrêtez-vous là.
• Ne saisissez jamais de données de carte, de mots de passe ou d'identifiants bancaires sur une page atteinte depuis un code imprimé. Allez sur le site ou l'appli vous-même.
• Traitez l'urgence comme un signal d'alarme. Amendes, livraisons échouées et offres qui expirent existent pour vous empêcher de vérifier.
• Sur tout support public, surtout les TPE et les horodateurs, cherchez un autocollant superposé à l'original.
• N'installez rien qu'une page scannée vous suggère. Allez sur le magasin d'applications et cherchez-le.
• Méfiez-vous des liens raccourcis dans les codes, qui masquent la destination une deuxième fois.

Si c'est vous qui imprimez les codes

Vous héritez d'une part de la responsabilité, parce que vous apprenez à vos clients à scanner des choses. Pointez les codes vers votre propre domaine plutôt que vers un raccourcisseur, pour que l'aperçu montre quelque chose de reconnaissable. Imprimez l'adresse en petit à côté du code, afin qu'une personne prudente puisse atteindre la page sans scanner du tout.

Puis vérifiez vos codes physiquement de temps en temps. S'ils sont en public, quelqu'un doit les regarder, parce qu'un autocollant posé sur votre code devient votre problème dans l'esprit du client, peu importe qui l'a collé.

Deux cas qui méritent d'être pensés

Un code Wi-Fi contient le nom du réseau et le mot de passe en clair, donc quiconque le photographie a votre mot de passe. C'est acceptable pour un réseau invités, et une mauvaise idée pour le réseau de votre caisse.

Un code contact contient les informations que vous y mettez. Imprimer un numéro de mobile personnel sur une affiche publique est une décision raisonnable dans certains cas et regrettable dans d'autres — mais cela doit rester une décision, pas un accident.

Ce qui se passe quand vous créez un code ici

QR Code Agent construit le motif dans votre navigateur. Ce que vous saisissez ne quitte jamais votre appareil, n'est envoyé à aucun serveur et n'est pas stocké, parce qu'il n'y a pas de compte auquel l'associer.

Les codes sont statiques, donc ils portent votre adresse directement, sans redirection au milieu qui pourrait plus tard être changée ou détournée. La contrepartie, c'est que nous ne pouvons ni voir, ni modifier, ni désactiver un code une fois créé — ce qui, en termes de sécurité, penche plutôt du bon côté, parce qu'il n'y a pas d'intermédiaire à compromettre.