La technique du collage
Le principe est d'une simplicité déconcertante. Un malfaiteur entre dans un restaurant, repère les affichettes QR code disposées sur les tables ou à l'entrée, et colle par-dessus une nouvelle affichette imprimée : avec son propre QR code. L'opération prend moins de trente secondes par table.
La fausse page qui s'ouvre imite à la perfection une page de commande ou de paiement : les bons logos, les bonnes couleurs, parfois même le nom du restaurant. L'utilisateur, convaincu de consulter la carte du jour, entre ses coordonnées bancaires sur un site frauduleux.
La technique ne se limite pas aux restaurants : Cybermalveillance.gouv.fr signale aussi de faux QR codes collés sur des parcmètres et des bornes de recharge pour véhicules électriques.
Les restaurants qui passent au menu digital sans prévoir de protection physique (QR codes gravés, boitiers verrouillés) sont des cibles privilégiées. Les petits établissements, qui impriment eux-mêmes leurs affichettes sur papier ordinaire, sont les plus vulnérables.
Comment le détecter
Avant de scanner, examinez physiquement le QR code. Les fausses affichettes sont souvent légèrement décalées, avec des bords qui dépassent ou une qualité d'impression différente du reste des supports du restaurant.
Utilisez un lecteur QR qui affiche l'URL complète avant d'ouvrir le lien. L'application Appareil photo native d'iOS et les lecteurs intégrés Android montrent généralement l'URL, prenez le temps de la lire. Les attaquants utilisent des techniques de typosquatting : 'carte-restaurant-lyon.com' au lieu du site officiel de l'établissement.
Méfiez-vous particulièrement si la page qui s'ouvre demande des coordonnées bancaires pour accéder à un simple menu. Aucun restaurant légitime ne conditionne la consultation d'une carte à un paiement.
Si vous avez un doute, demandez directement au personnel de vous montrer la carte papier ou le QR code affiché dans leur espace d'administration : pas sur l'affichette de table.
Ce que fait Trasimène
Trasimène intègre un scanner de QR codes. Chaque lien lu par ce scanner est vérifié par nos serveurs avant d'être ouvert : listes de sites d'hameçonnage et de logiciels malveillants tenues par Trasimène, Google Safe Browsing, et destination finale des éventuelles redirections.
Si le lien est reconnu comme dangereux, il ne s'ouvre pas : une alerte s'affiche, et c'est vous qui décidez de l'ouvrir quand même ou non. La date d'enregistrement du domaine, quand elle est connue, est affichée pour vous aider à juger, mais elle n'entre pas dans le verdict.
Cette vérification passe par le scanner de l'application : ouvrez-le avant de viser le QR code. Un QR code lu avec l'appareil photo du téléphone n'est pas vérifié. Si le VPN de Trasimène, en option, est activé, il repère après coup la visite d'un site déjà connu de nos listes et vous la signale dans l'application. Il ne bloque pas la page lui-même : seul Quad9, le service suisse auquel il confie la résolution des noms, écarte de son côté les domaines malveillants qu'il connaît.
La vigilance reste le premier rempart. Un coup d'œil rapide avant de scanner, une lecture de l'URL avant de taper, une question au serveur en cas de doute : ces réflexes simples suffisent à déjouer la majorité des attaques QR code. Mais ils ne coûtent rien à automatiser avec la bonne application de sécurité.
- Cybermalveillance.gouv.fr (French national cybersecurity assistance platform), "Le « quishing » : l'hameçonnage par QR code" (2024)
- NCSC (UK National Cyber Security Centre), "QR Codes – what's the real risk?"
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Be careful when scanning: the hidden dangers of tampered QR codes" (8 May 2025)
- Swiss Federal Office for Cybersecurity (BACS / NCSC), "Week 31: Beware when scanning QR codes!" (6 August 2024): reports of QR codes in restaurants covered up by fraudsters
- ENISA (European Union Agency for Cybersecurity), "ENISA Threat Landscape 2025" (October 2025)
Protégez-vous contre le phishing QR