Décoder un QR code

Pourquoi un QR code est-il un clic à l'aveugle ?

Un lien dans un email s'inspecte : on le survole, on lit l'adresse. Un QR code n'offre rien de tel. C'est une image, et le seul moyen de savoir ce qu'elle contient consiste normalement à laisser l'appareil photo l'ouvrir. C'est exactement cet angle mort qu'exploite le quishing : un autocollant collé par-dessus le code d'un horodateur, un faux code sur un avis de passage, une facture imprimée qui renvoie vers une page de paiement qui n'est pas la bonne.

Comment fonctionne cet outil ?

Votre navigateur lit l'image lui-même, avec son lecteur de codes intégré. L'image n'est jamais téléversée, l'adresse n'est jamais ouverte. Une fois l'adresse extraite, elle passe directement dans les mêmes contrôles que le décortiqueur de lien : domaine réel, marque utilisée comme décor, lettres empruntées à un autre alphabet, raccourcisseurs.

Ce qu'il ne peut pas vous dire

Il lit l'adresse, pas la page qui se trouve derrière. Un QR code qui pointe vers un domaine parfaitement banal peut tout de même mener à une arnaque, et un lien raccourci garde sa destination masquée tant qu'il n'est pas ouvert. Le réflexe reste le même : ne saisissez jamais de coordonnées bancaires ni de mot de passe sur une page atteinte depuis un code que vous n'avez pas imprimé vous-même.