Sécuriser les scans face au quishing tout en personnalisant l'expérience mobile

Un QR code peut simplifier l’accès à une offre, un menu ou un service, mais il peut aussi conduire vers une page qui vole des identifiants. Pour sécuriser les scans face au quishing tout en personnalisant l’expérience mobile, il faut vérifier la provenance du code, maîtriser sa destination et adapter le parcours sans demander plus de données que nécessaire.

Cette question concerne autant le client qui scanne une affiche que l’équipe qui crée des QR codes pour une campagne. Un parcours mobile rapide ne suffit pas : l’utilisateur doit comprendre où il arrive, pourquoi cette page correspond au support scanné et ce qu’on attend de lui. Les choix de conception, les contrôles techniques et les consignes données aux équipes doivent fonctionner ensemble.

Comprendre le quishing et le risque au moment du scan

Le quishing est une forme de phishing qui utilise un QR code pour conduire la victime vers une destination malveillante. L’US Postal Inspection Service le décrit comme une fraude à l’identité reposant sur des QR codes. Le risque ne tient donc pas au motif graphique du code en lui-même, mais au lien qu’il transmet et au contexte qui pousse une personne à l’ouvrir.

Microsoft a indiqué que les attaques de phishing par QR code observées sont passées de 7,6 millions en janvier 2026 à 18,7 millions en mars 2026, soit une hausse de 146 % sur le trimestre. Après ce pic, Microsoft en observait encore 8,3 millions en juin 2026. Ces chiffres décrivent les attaques relevées dans son périmètre, pas la probabilité qu’un QR code donné soit dangereux.

Proofpoint a, de son côté, identifié 4,2 millions de menaces liées aux QR codes au premier semestre 2025. Il ne faut pas additionner ce chiffre à ceux de Microsoft : les périodes et les mesures présentées ne sont pas les mêmes. Ensemble, ils montrent toutefois pourquoi une entreprise qui diffuse des codes à ses clients doit traiter leur destination comme une composante de sa sécurité.

Pourquoi le mobile change la donne

Le QR code peut apparaître dans un email, une image, un document Word ou une pièce jointe PDF. Microsoft explique que cette présentation peut échapper à certains contrôles textuels des emails, puis déplacer l’interaction vers un téléphone sur lequel l’URL est plus difficile à examiner. Dans ses observations du deuxième trimestre 2026, les PDF restaient le principal vecteur de livraison, devant les documents DOC et DOCX.

Le scénario est souvent banal en apparence : un message annonce un problème de livraison, de compte ou de paiement et demande de scanner immédiatement. La FTC souligne que les fraudeurs utilisent de tels prétextes pour créer l’urgence. Le FBI a également alerté sur des colis non sollicités contenant un QR code qui renvoie vers une collecte d’informations ou un téléchargement malveillant.

Réponse courte : avant de scanner, vérifiez qui présente le QR code et pourquoi ; avant d’agir sur la page ouverte, vérifiez la destination et la demande formulée. Si le code est inattendu ou si une urgence vous empêche de vérifier, ouvrez plutôt le site ou l’application officielle par vos propres moyens.

Pour une petite entreprise, cela implique deux responsabilités distinctes. Ses clients doivent pouvoir reconnaître ses codes légitimes ; son équipe doit pouvoir démontrer que chaque code publié conduit encore au parcours prévu. Une campagne soignée ne remplace ni l’une ni l’autre.

Vérifier un QR code avant de scanner, puis vérifier la page ouverte

Un contrôle utile commence avant l’ouverture du lien. La DGCCRF recommande de vérifier la vraisemblance du lien proposé par un QR code et de s’abstenir au moindre doute. Dans la pratique, la décision dépend aussi du support : un code sur une affiche identifiée dans un commerce n’inspire pas les mêmes questions qu’un code reçu dans un SMS inattendu.

Avant le scan, prenez quelques secondes pour examiner le contexte :

• La source : reconnaissez-vous l’établissement, l’expéditeur ou le document qui présente le code ? Un message reçu sans demande préalable mérite un contrôle indépendant.
• La cohérence : le texte autour du code explique-t-il clairement l’action attendue, par exemple consulter un menu ou ouvrir une page de réservation ?
• Le support : sur une affiche ou un comptoir, un autocollant ajouté par-dessus un code imprimé ou une modification visible justifie de demander confirmation au personnel.
• La pression : une injonction à scanner immédiatement pour éviter une sanction doit faire ralentir, non accélérer.

Après le scan, l’adresse affichée et le contenu de la page doivent correspondre à ce qui était annoncé. Une page qui prétend afficher un menu mais réclame le mot de passe d’un compte, un code de connexion ou des données de paiement appelle une vérification supplémentaire. Ne jugez pas seulement son apparence : un logo et des couleurs connus peuvent être copiés.

Lorsque le QR code vient d’un message suspect, le meilleur raccourci est souvent de ne pas l’utiliser. La FTC, Microsoft et l’US Postal Inspection Service recommandent de rejoindre directement le site ou l’application officielle de l’organisation. Pour une livraison supposée, par exemple, ouvrez vous-même le service que vous utilisez habituellement plutôt que de suivre le code d’un avis inattendu.

Ce contrôle reste possible quand le téléphone affiche mal l’URL, mais il devient moins confortable. C’est précisément une limite exploitée par le quishing. Une entreprise peut aider ses clients en imprimant à côté du code une adresse lisible et une description précise de la destination. Cette adresse n’est pas une preuve absolue, mais elle donne un point de comparaison et permet de saisir le site sans scanner.

Sécuriser les QR codes statiques et dynamiques dès leur création

Le choix entre QR code statique et QR code dynamique influe sur la gestion du risque. Dans un code statique, la destination encodée reste celle du support publié : si elle doit changer, il faut généralement diffuser un nouveau code. Un code dynamique renvoie d’abord vers une adresse intermédiaire dont la destination peut être modifiée sans réimprimer le visuel. Cette souplesse est pratique pour corriger une campagne, mais elle rend indispensable le contrôle des redirections.

Avant de créer un code, définissez l’usage attendu en une phrase : « ce code ouvre le menu mobile de ce restaurant » ou « ce code ouvre les horaires de ce point de vente ». Associez ensuite à chaque usage une URL de destination approuvée. Une description vague comme « en savoir plus » rend plus difficile le contrôle éditorial et aide moins le client à repérer un écart.

Les décisions à prendre avant publication

1. Choisir une destination identifiable. Privilégiez un domaine que l’entreprise contrôle ou un service dont elle peut expliquer clairement l’usage. Vérifiez la page finale, et pas seulement l’adresse intermédiaire encodée dans le QR code.
2. Limiter les droits de modification. Déterminez qui peut créer un code, changer sa destination et publier un nouveau visuel. Pour les campagnes sensibles, prévoyez une validation distincte avant qu’une redirection modifiée soit mise en ligne.
3. Documenter les supports. Conservez pour chaque code son objectif, son emplacement, sa destination attendue et la personne responsable. Cette liste facilite les contrôles lorsque plusieurs affiches, emails et documents circulent.
4. Tester le parcours complet. Scannez le code tel qu’il apparaîtra réellement, sur le support prévu et avec un téléphone. Vérifiez les éventuelles redirections, la page mobile et les demandes de connexion ou de paiement.

Un QR code dynamique permet aussi de retirer ou de corriger une destination sans remplacer immédiatement tous les imprimés. C’est un avantage opérationnel, non une garantie de sécurité : si le compte qui pilote la redirection est mal géré, un code auparavant légitime peut mener ailleurs. Un contrôle des accès et une revue des changements sont donc aussi importants que le choix initial de l’URL.

À l’inverse, un code statique évite la modification de sa destination par un tableau de bord de redirection, mais ne protège pas contre un support physique remplacé, une page cible compromise ou une adresse devenue inadaptée. Le bon choix dépend de la durée de la campagne, de la fréquence des mises à jour et de la capacité de l’équipe à surveiller ce qu’elle publie.

Créer une page mobile qui confirme le contexte sans masquer la destination

La personnalisation commence par une question simple : qu’attend la personne après avoir scanné ici ? Sur une table de restaurant, elle peut vouloir lire le menu ; sur une affiche en boutique, voir une offre disponible ; dans un document de service, accéder à une procédure. Une page qui répond immédiatement à cette intention réduit les détours et rend les demandes inattendues plus visibles.

Une page MultiLink peut réunir plusieurs actions pertinentes, comme consulter un catalogue, contacter un établissement et obtenir un itinéraire. Elle est utile lorsque le support ne permet pas de prédire une seule action. Si l’intention est précise, une page dédiée peut être plus claire : un QR code présenté comme l’accès au menu devrait ouvrir le menu sans obliger l’utilisateur à chercher parmi des liens sans rapport.

Dans les deux cas, l’écran d’arrivée devrait reprendre les éléments annoncés à côté du QR code : nom de l’établissement, objet du scan et action principale. Indiquez clairement lorsqu’un bouton quitte le site pour ouvrir un service tiers. La cohérence entre le support et la page ne prouve pas, à elle seule, que le parcours est sûr, mais elle facilite la compréhension et le contrôle par l’utilisateur.

Prenons le cas d’un commerce au Cameroun qui place des QR codes sur ses vitrines et ses reçus. Le code de vitrine peut ouvrir les horaires et l’itinéraire ; celui du reçu, les informations de service après-vente. Ces parcours contextualisés n’exigent pas de connaître l’identité de chaque client. Ils utilisent l’emplacement et l’objectif du support pour proposer une première étape utile, sans transformer chaque scan en demande de création de compte.

Une personnalisation plus poussée peut être justifiée, mais elle doit intervenir au bon moment. Si une fonction requiert une authentification, expliquez pourquoi avant de demander de se connecter et utilisez un parcours que le client peut reconnaître. Demander des identifiants dès l’ouverture d’un code présenté comme purement informatif crée une mauvaise expérience et ressemble au schéma d’une attaque de phishing.

Évitez également de cacher une succession de redirections derrière une promesse trop générale. Une page d’accueil intermédiaire peut servir à orienter la personne ; elle ne devrait pas rendre impossible la compréhension de la destination finale. La meilleure personnalisation reste celle qui aide l’utilisateur à accomplir la tâche annoncée tout en lui laissant des repères.

Utiliser App Clips et deep links pour une expérience mobile ciblée

Le QR code n’a pas toujours besoin d’ouvrir une page web classique. Apple indique qu’un App Clip peut être découvert par QR code, NFC, Safari, Messages ou Maps. Cette version légère d’une application permet d’accomplir rapidement une tâche précise, sans téléchargement complet de l’app. Pour un service conçu autour d’une action courte, c’est une option à étudier plutôt qu’une solution à imposer à tous les parcours.

Apple permet également d’adapter l’interface d’une expérience App Clip avancée selon son URL d’invocation. Cette URL doit correspondre à la configuration déclarée, que le système vérifie. Des App Clip Codes distincts peuvent être prévus pour différentes expériences : par exemple, présenter une action adaptée au lieu ou au service indiqué sur le support. La personnalisation porte alors sur le contexte de lancement, pas nécessairement sur l’identité de la personne.

Cette voie suppose toutefois de disposer d’une application et de préparer les expériences correspondantes dans l’écosystème Apple. Une entreprise qui a seulement besoin de publier un menu ou des horaires peut obtenir un parcours plus simple avec une page web mobile bien conçue. Il faut choisir l’outil selon la tâche, le public et les ressources disponibles, sans confondre sophistication technique et utilité.

Quand une application est déjà installée

Les deep links répondent à un autre besoin : ouvrir directement l’écran pertinent d’une application au lieu de renvoyer systématiquement à une page d’accueil. Google recommande de relier le site et l’application pour assurer cette continuité, notamment avec les App Links et les Universal Links selon les plateformes. Un QR code de campagne peut alors servir de point d’entrée vers le bon contenu lorsque l’app est installée.

La configuration doit être testée : Google décrit notamment des tests de liens profonds au moyen d’un QR code. Vérifiez ce qui se passe avec et sans l’application, sur les appareils concernés, ainsi que la destination de repli. Si le lien ouvre le mauvais écran ou laisse une personne sans issue claire, le parcours personnalisé échoue même si le scan fonctionne.

Ces mécanismes ne remplacent pas la vérification de la source. Un lancement rapide d’application reste dépendant du code et du contexte qui y conduisent. Le principe opérationnel est de faire correspondre trois éléments : la promesse visible avant le scan, l’URL ou le mécanisme d’invocation configuré, puis l’écran réellement présenté sur le téléphone.

Personnaliser avec les données de scan sans surinterpréter les mesures

Une plateforme de QR codes dynamiques peut aider à suivre les scans et à analyser la performance des campagnes. Ces mesures servent, par exemple, à comparer l’intérêt suscité par une affiche en vitrine, un support en magasin et un document distribué lors d’un événement. Elles peuvent aussi signaler qu’un support continue d’être utilisé après la fin prévue d’une opération, ce qui mérite une vérification de sa destination.

Il faut distinguer mesure et identité. Un scan n’établit pas, à lui seul, qui se trouve derrière le téléphone, si la page a été lue ou si une action a été accomplie. Pour comprendre l’efficacité d’une campagne, reliez les indicateurs à une question précise : quel support amène des visites vers la bonne page, et quel parcours permet ensuite d’effectuer l’action recherchée ? Ne présentez pas un nombre de scans comme une preuve automatique de ventes ou de satisfaction.

Pour personnaliser sans collecte excessive, commencez par les informations déjà connues grâce au support. Un code placé près d’un rayon peut ouvrir la fiche de la catégorie concernée ; un code dans une communication destinée à un établissement peut ouvrir les informations de cet établissement. Cette approche évite de demander la localisation ou l’identité du visiteur lorsque le contexte physique suffit.

La GSMA décrit des approches d’identité mobile pouvant combiner, selon les usages, des signaux comme l’appareil, la localisation, l’adresse IP, la biométrie ou les comportements, dans le respect des règles de confidentialité. Ces possibilités ne signifient pas qu’une campagne QR doit les employer. Plus le parcours touche à l’authentification ou à des données personnelles, plus il faut définir clairement la finalité, les accès et les protections appropriées avant de le déployer.

Évitez notamment de placer des données personnelles ou des secrets dans une URL destinée à être encodée, partagée ou conservée sur un support imprimé. Si une expérience doit reconnaître un utilisateur, séparez l’entrée par QR code de l’étape d’authentification et expliquez ce que celle-ci apporte. Pour une offre publique ou une page de contact, une personnalisation par contexte est généralement plus proportionnée qu’un profil individuel.

Enfin, la sécurité et l’analyse doivent partager une même définition du parcours attendu. Si une équipe marketing modifie la destination d’un code dynamique pour tester une nouvelle page, la personne responsable de la sécurité doit pouvoir comprendre ce changement. Les données de campagne deviennent alors utiles pour décider quoi améliorer, sans servir de prétexte à rendre la collecte opaque.

Organiser une défense multicouche pour les équipes et les appareils

Former les clients à reconnaître un QR code suspect est utile, mais insuffisant pour une organisation qui crée et diffuse ses propres codes. La protection doit aussi couvrir les documents entrants, les appareils de travail, les comptes utilisés pour gérer les campagnes et les pages de destination. NIST recommande une gestion centralisée de la sécurité des terminaux mobiles, avec des technologies de protection et des contre-mesures adaptées aux usages.

Les priorités ne sont pas identiques pour une petite boutique et pour une organisation traitant des données sensibles. Une équipe réduite peut commencer par un inventaire des codes publics, des accès limités à leur modification, des appareils maintenus sous contrôle et une procédure simple pour signaler un code suspect. Une structure dotée d’une flotte mobile et d’un environnement de messagerie plus complexe peut ajouter des contrôles sur les pièces jointes contenant des images ou des PDF, ainsi qu’une gestion centralisée des terminaux.

Cette attention aux documents n’est pas accessoire. Microsoft et Proofpoint décrivent des campagnes dans lesquelles le QR code apparaît au sein de pièces jointes ou de chaînes d’attaque hybrides pour contourner des filtres conçus d’abord pour examiner du texte ou des liens classiques. Un employé qui reçoit un PDF demandant de scanner un code pour « confirmer » son compte doit appliquer les mêmes vérifications qu’avec un lien suspect.

Dans un environnement de très haute sécurité, NIST note qu’il est possible de restreindre des périphériques comme la caméra afin d’empêcher le traitement des QR codes. Il s’agit d’un choix ciblé, avec un coût évident pour les usages légitimes : une telle restriction ne conviendrait pas à une équipe dont le travail quotidien dépend du scan. Le niveau de contrôle doit suivre la sensibilité de l’activité, plutôt qu’une règle uniforme.

Au-delà du QR code, les menaces mobiles utilisent aussi les SMS, la voix et les demandes d’authentification frauduleuses. Verizon indique dans son DBIR 2026 que les attaques interactives sur mobile par SMS ou voix progressent et affichent un taux de succès supérieur de 40 % à celui du phishing email traditionnel. Cette observation invite à ne pas isoler le quishing des autres tentatives de manipulation : les mêmes réflexes de vérification doivent accompagner tous les canaux.

Tester les parcours et réagir lorsqu’un code semble détourné

Un QR code légitime peut devenir problématique après sa publication si sa page change, si une redirection est modifiée ou si un support est altéré. Le contrôle ne s’arrête donc pas au fichier envoyé à l’imprimeur. Prévoyez une vérification à la mise en place, après tout changement de destination et lorsque quelqu’un signale un comportement inattendu.

Un test utile reproduit le parcours du public, sans accès privilégié. Scannez l’affiche ou le document réel, observez l’adresse et l’écran obtenus sur mobile, puis comparez-les à la promesse imprimée. Répétez le test sur les configurations réellement visées : un lien qui fonctionne sur un téléphone doté de l’application peut se comporter autrement lorsque celle-ci est absente.

• Avant diffusion : confirmez le responsable du code, son emplacement, la destination finale, le contenu mobile et les éventuelles demandes de données.
• Après modification : rescannnez le support déjà en circulation, plutôt que de tester seulement l’URL saisie dans un navigateur.
• En cas de signalement : conservez les éléments permettant d’identifier le support et le parcours observé, puis vérifiez si le problème vient du visuel, de la redirection ou de la page cible.
• Après correction : testez de nouveau le parcours depuis le code et indiquez aux équipes concernées ce qui a changé.

Si un code dynamique que vous contrôlez renvoie vers une page non autorisée, arrêtez ou corrigez sa redirection selon les possibilités de votre outil, puis vérifiez les accès qui ont permis la modification. S’il s’agit d’un autocollant ajouté sur un support physique, retirez le support trompeur et contrôlez les autres emplacements concernés. Dans les deux cas, avertir clairement les personnes susceptibles d’avoir scanné est plus utile que de laisser circuler une consigne ambiguë.

Une dernière décision concerne la simplicité du parcours. Une succession de pages, de domaines et de demandes de connexion peut être techniquement prévue, mais elle complique les vérifications pour tout le monde. Lorsque plusieurs options sont possibles, privilégiez celle qui permet à l’utilisateur d’identifier rapidement l’organisation, la destination et l’action demandée, puis mesurez si cette expérience répond effectivement à l’objectif de la campagne.

Sécuriser les scans face au quishing ne signifie pas renoncer aux QR codes ou à la personnalisation mobile. Cela signifie traiter chaque code comme une porte d’entrée à documenter, chaque redirection comme un changement à maîtriser et chaque écran comme une étape qui doit correspondre à la promesse faite avant le scan.

Pour démarrer, choisissez un code déjà utilisé dans votre activité et suivez son parcours complet sur un téléphone : support, URL, page et action finale. Si l’une de ces étapes est difficile à expliquer à un client, corrigez-la avant d’ajouter de nouvelles options de personnalisation ou de nouveaux supports.