[{"data":1,"prerenderedAt":485},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fhameconnage-code-qr-quishing":45,"post-alt-\u002Fblogue\u002Fhameconnage-code-qr-quishing":460,"post-rel-\u002Fblogue\u002Fhameconnage-code-qr-quishing":462},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":416,"date":417,"description":418,"extension":419,"faq":420,"keyword":433,"meta":434,"minutes":27,"navigation":251,"path":435,"rawbody":436,"seo":437,"sources":438,"stem":451,"tags":452,"translationKey":455,"updated":458,"__hash__":459},"blog_fr\u002Fblogue\u002Fhameconnage-code-qr-quishing.md","Hameçonnage par code QR (quishing) : reconnaître et se protéger",{"type":49,"value":50,"toc":407},"minimark",[51,55,58,61,82,87,90,93,96,100,103,130,139,143,146,224,227,230,234,237,240,297,300,304,308,311,324,327,364,368,371,389,397,404],[52,53,54],"p",{},"Une adjointe administrative d'un cabinet d'architectes de Sherbrooke reçoit un courriel : « Votre authentification multifacteur expire aujourd'hui. Scannez le code QR pour la réactiver. » Un logo familier, un code QR bien net, aucun lien à cliquer. Elle sort son cellulaire, scanne et entre son mot de passe sur une page identique à la vraie.",[52,56,57],{},"Le filtre antipourriel n'a rien remarqué : il n'y avait pas de lien suspect, seulement une image. Et son téléphone personnel n'avait aucune des protections de son poste de travail.",[52,59,60],{},"C'est le quishing, ou hameçonnage par code QR. Voici comment le reconnaître, les règles à donner à l'équipe et les réglages qui limitent les dégâts.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Le quishing remplace le lien par un code QR : le Centre canadien pour la cybersécurité signale qu'un code malveillant peut se trouver dans un courriel d'hameçonnage ou sur une étiquette collée par-dessus un vrai code.",[70,74,75],{},"Au Canada, de faux codes QR ont été signalés sur des panneaux et des bornes de stationnement, notamment à Montréal (juillet 2025) et à Mississauga (avril 2026).",[70,77,78],{},"Règle simple pour l'équipe : on ne se connecte jamais à un compte de l'entreprise à partir d'un code QR reçu sans l'avoir demandé.",[70,80,81],{},"Une authentification résistante à l'hameçonnage, comme les clés d'accès, limite fortement l'intérêt d'un mot de passe volé.",[83,84,86],"h2",{"id":85},"quest-ce-que-le-quishing","Qu'est-ce que le quishing ?",[52,88,89],{},"Le quishing est un hameçonnage qui utilise un code QR au lieu d'un lien cliquable pour mener la victime vers une fausse page de connexion ou de paiement.",[52,91,92],{},"Dans sa publication ITSAP.00.141, mise à jour en janvier 2024, le Centre canadien pour la cybersécurité décrit trois façons de faire : cloner un code QR authentique pour rediriger vers un site malveillant, placer un code QR dans un courriel d'hameçonnage, ou coller un faux code dans un lieu public. Le Centre antifraude du Canada compte d'ailleurs la « demande de scanner un code QR » parmi les tactiques d'hameçonnage.",[52,94,95],{},"Le but reste le même que pour tout hameçonnage : voler un mot de passe, un code MFA, un numéro de carte, ou faire installer une application malveillante.",[83,97,99],{"id":98},"pourquoi-le-code-qr-déjoue-les-réflexes","Pourquoi le code QR déjoue les réflexes",[52,101,102],{},"Le code QR contourne deux protections d'un coup : l'analyse des liens dans les courriels et le poste de travail géré par l'entreprise.",[67,104,105,112,118,124],{},[70,106,107,111],{},[108,109,110],"strong",{},"C'est une image."," Certains filtres de courriel analysent les liens, mais ne décodent pas forcément une image ou un PDF. Demandez à votre fournisseur TI ce que fait le vôtre.",[70,113,114,117],{},[108,115,116],{},"Le scan se fait sur le cellulaire."," Souvent un appareil personnel, sans les protections, les mises à jour ni la surveillance du poste de travail.",[70,119,120,123],{},[108,121,122],{},"L'adresse est difficile à lire."," Sur un petit écran, une adresse légèrement modifiée passe inaperçue.",[70,125,126,129],{},[108,127,128],{},"L'habitude rassure."," Menus de restaurant, stationnement, factures : scanner est devenu banal.",[52,131,132,133,138],{},"Les signes d'alerte classiques restent valables : urgence, menace de blocage du compte, expéditeur inattendu. Notre article sur les ",[134,135,137],"a",{"href":136},"\u002Fblogue\u002Freconnaitre-courriel-hameconnage-exemples","exemples de courriels d'hameçonnage"," les détaille.",[83,140,142],{"id":141},"où-on-le-rencontre-courriels-factures-stationnements","Où on le rencontre : courriels, factures, stationnements",[52,144,145],{},"Le quishing se rencontre surtout dans trois contextes : les courriels et les pièces jointes, les paiements, et les codes physiques collés dans des lieux publics.",[147,148,149,165],"table",{},[150,151,152],"thead",{},[153,154,155,159,162],"tr",{},[156,157,158],"th",{},"Où",[156,160,161],{},"Exemple de leurre",[156,163,164],{},"Bon réflexe",[166,167,168,180,191,202,213],"tbody",{},[153,169,170,174,177],{},[171,172,173],"td",{},"Courriel",[171,175,176],{},"« Réactivez votre MFA », « Document à signer », « Boîte courriel pleine »",[171,178,179],{},"Ne pas scanner ; ouvrir le portail habituel en tapant l'adresse",[153,181,182,185,188],{},[171,183,184],{},"Facture ou avis en PDF",[171,186,187],{},"« Payez en scannant ce code »",[171,189,190],{},"Vérifier auprès du fournisseur, au numéro du dossier",[153,192,193,196,199],{},[171,194,195],{},"Stationnement",[171,197,198],{},"Étiquette collée sur une borne ou un panneau",[171,200,201],{},"Payer à la borne ou avec l'application officielle",[153,203,204,207,210],{},[171,205,206],{},"Affiche, dépliant, avis de livraison",[171,208,209],{},"« Réclamez votre remboursement », « Reprogrammez la livraison »",[171,211,212],{},"Taper l'adresse officielle soi-même",[153,214,215,218,221],{},[171,216,217],{},"Vos propres codes QR",[171,219,220],{},"Étiquette d'un fraudeur collée sur votre menu ou votre vitrine",[171,222,223],{},"Inspecter régulièrement ; afficher l'adresse en clair sous le code",[52,225,226],{},"Le stationnement est le cas le plus médiatisé au pays. En juillet 2025, l'Agence de mobilité durable de Montréal a mis en garde contre un faux code QR apparu sur un panneau de stationnement, en précisant à Noovo Info que ses panneaux n'ont jamais comporté de codes QR. En avril 2026, la Ville de Mississauga a retiré environ 80 fausses étiquettes de ses bornes et indiqué que des fraudes semblables avaient été signalées à Vancouver, à Montréal, à Ottawa et à Toronto.",[52,228,229],{},"Pour une PME, retenez surtout le dernier rang du tableau : si vos clients scannent vos codes, un fraudeur peut coller le sien par-dessus.",[83,231,233],{"id":232},"les-règles-à-donner-à-léquipe","Les règles à donner à l'équipe",[52,235,236],{},"Une règle simple couvre l'essentiel : on ne se connecte jamais à un compte de l'entreprise, et on ne paie jamais rien, à partir d'un code QR reçu sans l'avoir demandé.",[52,238,239],{},"Les autres consignes viennent en bonne partie du Centre canadien pour la cybersécurité :",[67,241,244,255,262,269,276,283,290],{"className":242},[243],"contains-task-list",[70,245,248,254],{"className":246},[247],"task-list-item",[249,250],"input",{"disabled":251,"type":252,"aria-label":253},true,"checkbox","Pour Microsoft 365, Google Workspace ou la banque, taper l'adresse habituelle ou utiliser le favori, jamais un code QR reçu par courriel."," Pour Microsoft 365, Google Workspace ou la banque, taper l'adresse habituelle ou utiliser le favori, jamais un code QR reçu par courriel.",[70,256,258,261],{"className":257},[247],[249,259],{"disabled":251,"type":252,"aria-label":260},"Si une page demande un mot de passe après un scan, vérifier attentivement l'adresse du site."," Si une page demande un mot de passe après un scan, vérifier attentivement l'adresse du site.",[70,263,265,268],{"className":264},[247],[249,266],{"disabled":251,"type":252,"aria-label":267},"Utiliser l'appareil photo intégré du téléphone ou un lecteur fiable, pas une application inconnue."," Utiliser l'appareil photo intégré du téléphone ou un lecteur fiable, pas une application inconnue.",[70,270,272,275],{"className":271},[247],[249,273],{"disabled":251,"type":252,"aria-label":274},"Configurer le téléphone pour qu'il demande une autorisation avant de lancer l'action du code."," Configurer le téléphone pour qu'il demande une autorisation avant de lancer l'action du code.",[70,277,279,282],{"className":278},[247],[249,280],{"disabled":251,"type":252,"aria-label":281},"Se méfier d'une étiquette qui pourrait recouvrir un autre code, et demander au personnel sur place."," Se méfier d'une étiquette qui pourrait recouvrir un autre code, et demander au personnel sur place.",[70,284,286,289],{"className":285},[247],[249,287],{"disabled":251,"type":252,"aria-label":288},"Garder le téléphone à jour, avec les mises à jour automatiques activées."," Garder le téléphone à jour, avec les mises à jour automatiques activées.",[70,291,293,296],{"className":292},[247],[249,294],{"disabled":251,"type":252,"aria-label":295},"Signaler tout courriel contenant un code QR suspect, sans le scanner."," Signaler tout courriel contenant un code QR suspect, sans le scanner.",[52,298,299],{},"Ajoutez une consigne interne claire : « L'informatique ne vous demandera jamais de scanner un code QR pour réactiver votre compte. »",[301,302],"cta",{"variant":303},"audit",[83,305,307],{"id":306},"les-mesures-techniques-qui-limitent-les-dégâts","Les mesures techniques qui limitent les dégâts",[52,309,310],{},"La mesure la plus efficace est une authentification résistante à l'hameçonnage : si le compte exige une clé d'accès ou une clé de sécurité FIDO2, un mot de passe volé ne suffit pas, et la fausse page ne peut pas relayer la clé, liée au vrai domaine.",[52,312,313,314,318,319,323],{},"Notre guide de déploiement des ",[134,315,317],{"href":316},"\u002Fblogue\u002Fcles-acces-passkeys-entreprise","clés d'accès (passkeys)"," explique comment y arriver, et notre comparatif des ",[134,320,322],{"href":321},"\u002Fcomparatifs\u002Fmethodes-mfa-comparatif","méthodes MFA"," montre pourquoi le texto et les codes à six chiffres ne protègent pas contre une fausse page.",[52,325,326],{},"Ensuite :",[67,328,329,335,341,347,353],{},[70,330,331,334],{},[108,332,333],{},"Filtrage du courriel"," : vérifiez avec votre fournisseur si l'analyse couvre les codes QR dans les images et les pièces jointes.",[70,336,337,340],{},[108,338,339],{},"Accès conditionnel"," : bloquez les connexions qui viennent d'appareils inconnus ou de pays où vous n'avez personne.",[70,342,343,346],{},[108,344,345],{},"Appareils mobiles"," : si vos employés lisent leurs courriels sur leur cellulaire, encadrez ces appareils (mises à jour, verrouillage, protection des applications).",[70,348,349,352],{},[108,350,351],{},"Simulations"," : ajoutez un scénario de code QR à vos exercices de sensibilisation.",[70,354,355,358,359,363],{},[108,356,357],{},"Votre domaine"," : des fraudeurs peuvent envoyer du quishing à vos clients en votre nom. Vérifiez votre protection avec notre ",[134,360,362],{"href":361},"\u002Foutils\u002Fverificateur-dmarc-spf-dkim","vérificateur DMARC, SPF et DKIM",".",[83,365,367],{"id":366},"jai-scanné-et-entré-mon-mot-de-passe-que-faire","J'ai scanné et entré mon mot de passe : que faire ?",[52,369,370],{},"Changez le mot de passe immédiatement à partir d'un autre appareil, puis prévenez l'informatique pour qu'elle révoque les sessions ouvertes.",[372,373,374,377,380,383,386],"ol",{},[70,375,376],{},"Vérifiez qu'aucune nouvelle méthode MFA n'a été ajoutée au compte.",[70,378,379],{},"Cherchez des règles de transfert ou de suppression ajoutées dans la boîte courriel.",[70,381,382],{},"Si vous avez saisi une carte de crédit, appelez votre institution financière.",[70,384,385],{},"Pour un code de stationnement, signalez-le aussi à la ville ou à l'agence de stationnement.",[70,387,388],{},"Signalez la fraude au Centre antifraude du Canada.",[52,390,391,392,396],{},"Notre article ",[134,393,395],{"href":394},"\u002Fblogue\u002Fclique-lien-hameconnage-que-faire","J'ai cliqué sur un lien d'hameçonnage : que faire"," détaille chaque étape, y compris l'évaluation d'un incident de confidentialité au sens de la Loi 25.",[52,398,399,400,403],{},"Pour vérifier que votre filtrage, votre MFA et votre accès conditionnel sont bien réglés, notre ",[134,401,402],{"href":13},"audit Microsoft 365 et Google Workspace"," passe ces paramètres en revue.",[301,405],{"variant":406},"devis",{"title":408,"searchDepth":11,"depth":15,"links":409},"",[410,411,412,413,414,415],{"id":85,"depth":11,"text":86},{"id":98,"depth":11,"text":99},{"id":141,"depth":11,"text":142},{"id":232,"depth":11,"text":233},{"id":306,"depth":11,"text":307},{"id":366,"depth":11,"text":367},"threats","2026-10-24","Faux codes QR sur les bornes de stationnement, courriels « scannez pour réactiver votre MFA » : comment reconnaître le quishing et en protéger votre PME.","md",[421,424,427,430],{"q":422,"a":423},"C'est quoi le quishing ?","Le quishing, contraction de QR et de phishing, est un hameçonnage qui utilise un code QR au lieu d'un lien. Le Centre canadien pour la cybersécurité signale que les auteurs de menace peuvent placer un code QR dans un courriel d'hameçonnage ou coller une étiquette par-dessus un code légitime. Le code mène à une fausse page qui vole des identifiants ou des numéros de carte.",{"q":425,"a":426},"Peut-on se faire pirater juste en scannant un code QR ?","Le scan déclenche une action, le plus souvent l'ouverture d'une page Web. Le danger principal vient de ce que vous faites ensuite : entrer un mot de passe, payer ou installer une application. Le Centre canadien pour la cybersécurité recommande de configurer l'appareil pour qu'il demande une autorisation avant de lancer l'action du code, de vérifier attentivement l'adresse si on vous demande un mot de passe, et de garder le téléphone à jour.",{"q":428,"a":429},"Comment savoir si un code QR de stationnement est frauduleux ?","Méfiez-vous de tout code collé sur une borne ou un panneau. En juillet 2025, l'Agence de mobilité durable de Montréal a rappelé que ses panneaux n'ont jamais comporté de codes QR. En avril 2026, Mississauga a retiré environ 80 fausses étiquettes de ses bornes. Payez à la borne ou avec l'application officielle téléchargée depuis le magasin d'applications.",{"q":431,"a":432},"Que faire si un employé a entré son mot de passe après avoir scanné un code QR ?","Changez le mot de passe immédiatement à partir d'un appareil sain, révoquez les sessions ouvertes et vérifiez qu'aucune méthode MFA ni règle de transfert de courriel n'a été ajoutée. Si des données de carte ont été saisies, appelez la banque. Signalez ensuite l'événement au Centre antifraude du Canada.","hameçonnage code QR",{},"\u002Fblogue\u002Fhameconnage-code-qr-quishing","---\ntitle: \"Hameçonnage par code QR (quishing) : reconnaître et se protéger\"\ndescription: \"Faux codes QR sur les bornes de stationnement, courriels « scannez pour réactiver votre MFA » : comment reconnaître le quishing et en protéger votre PME.\"\ndate: 2026-10-24\ncategory: threats\ntags: [\"hameçonnage\", \"code qr\", \"quishing\", \"sensibilisation\", \"mfa\"]\ntranslationKey: quishing\nkeyword: \"hameçonnage code QR\"\nfaq:\n  - q: \"C'est quoi le quishing ?\"\n    a: \"Le quishing, contraction de QR et de phishing, est un hameçonnage qui utilise un code QR au lieu d'un lien. Le Centre canadien pour la cybersécurité signale que les auteurs de menace peuvent placer un code QR dans un courriel d'hameçonnage ou coller une étiquette par-dessus un code légitime. Le code mène à une fausse page qui vole des identifiants ou des numéros de carte.\"\n  - q: \"Peut-on se faire pirater juste en scannant un code QR ?\"\n    a: \"Le scan déclenche une action, le plus souvent l'ouverture d'une page Web. Le danger principal vient de ce que vous faites ensuite : entrer un mot de passe, payer ou installer une application. Le Centre canadien pour la cybersécurité recommande de configurer l'appareil pour qu'il demande une autorisation avant de lancer l'action du code, de vérifier attentivement l'adresse si on vous demande un mot de passe, et de garder le téléphone à jour.\"\n  - q: \"Comment savoir si un code QR de stationnement est frauduleux ?\"\n    a: \"Méfiez-vous de tout code collé sur une borne ou un panneau. En juillet 2025, l'Agence de mobilité durable de Montréal a rappelé que ses panneaux n'ont jamais comporté de codes QR. En avril 2026, Mississauga a retiré environ 80 fausses étiquettes de ses bornes. Payez à la borne ou avec l'application officielle téléchargée depuis le magasin d'applications.\"\n  - q: \"Que faire si un employé a entré son mot de passe après avoir scanné un code QR ?\"\n    a: \"Changez le mot de passe immédiatement à partir d'un appareil sain, révoquez les sessions ouvertes et vérifiez qu'aucune méthode MFA ni règle de transfert de courriel n'a été ajoutée. Si des données de carte ont été saisies, appelez la banque. Signalez ensuite l'événement au Centre antifraude du Canada.\"\nsources:\n  - title: \"Centre canadien pour la cybersécurité : Facteurs relatifs à la sécurité à considérer pour les codes QR (ITSAP.00.141)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Ffacteurs-relatifs-la-securite-considerer-pour-les-codes-qr-itsap00141\"\n  - title: \"Centre antifraude du Canada : Hameçonnage\"\n    url: \"https:\u002F\u002Fantifraudcentre-centreantifraude.ca\u002Fscams-fraudes\u002Fphishing-hameconnage-fra.htm\"\n  - title: \"Noovo Info : Mise en garde contre de faux codes QR sur des bornes de stationnement (17 juillet 2025)\"\n    url: \"https:\u002F\u002Fwww.noovo.info\u002Fnouvelle\u002Ffraude-mise-en-garde-contre-de-faux-codes-qr-sur-des-bornes-de-stationnement.html\"\n  - title: \"City of Mississauga : City warns about fraudulent QR codes on parking machines (24 avril 2026)\"\n    url: \"https:\u002F\u002Fwww.mississauga.ca\u002Fcity-of-mississauga-news\u002Fnews\u002Fcity-warns-about-fraudulent-qr-codes-on-parking-machines\u002F\"\n---\n\nUne adjointe administrative d'un cabinet d'architectes de Sherbrooke reçoit un courriel : « Votre authentification multifacteur expire aujourd'hui. Scannez le code QR pour la réactiver. » Un logo familier, un code QR bien net, aucun lien à cliquer. Elle sort son cellulaire, scanne et entre son mot de passe sur une page identique à la vraie.\n\nLe filtre antipourriel n'a rien remarqué : il n'y avait pas de lien suspect, seulement une image. Et son téléphone personnel n'avait aucune des protections de son poste de travail.\n\nC'est le quishing, ou hameçonnage par code QR. Voici comment le reconnaître, les règles à donner à l'équipe et les réglages qui limitent les dégâts.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Le quishing remplace le lien par un code QR : le Centre canadien pour la cybersécurité signale qu'un code malveillant peut se trouver dans un courriel d'hameçonnage ou sur une étiquette collée par-dessus un vrai code.\n- Au Canada, de faux codes QR ont été signalés sur des panneaux et des bornes de stationnement, notamment à Montréal (juillet 2025) et à Mississauga (avril 2026).\n- Règle simple pour l'équipe : on ne se connecte jamais à un compte de l'entreprise à partir d'un code QR reçu sans l'avoir demandé.\n- Une authentification résistante à l'hameçonnage, comme les clés d'accès, limite fortement l'intérêt d'un mot de passe volé.\n::\n\n## Qu'est-ce que le quishing ?\n\nLe quishing est un hameçonnage qui utilise un code QR au lieu d'un lien cliquable pour mener la victime vers une fausse page de connexion ou de paiement.\n\nDans sa publication ITSAP.00.141, mise à jour en janvier 2024, le Centre canadien pour la cybersécurité décrit trois façons de faire : cloner un code QR authentique pour rediriger vers un site malveillant, placer un code QR dans un courriel d'hameçonnage, ou coller un faux code dans un lieu public. Le Centre antifraude du Canada compte d'ailleurs la « demande de scanner un code QR » parmi les tactiques d'hameçonnage.\n\nLe but reste le même que pour tout hameçonnage : voler un mot de passe, un code MFA, un numéro de carte, ou faire installer une application malveillante.\n\n## Pourquoi le code QR déjoue les réflexes\n\nLe code QR contourne deux protections d'un coup : l'analyse des liens dans les courriels et le poste de travail géré par l'entreprise.\n\n- **C'est une image.** Certains filtres de courriel analysent les liens, mais ne décodent pas forcément une image ou un PDF. Demandez à votre fournisseur TI ce que fait le vôtre.\n- **Le scan se fait sur le cellulaire.** Souvent un appareil personnel, sans les protections, les mises à jour ni la surveillance du poste de travail.\n- **L'adresse est difficile à lire.** Sur un petit écran, une adresse légèrement modifiée passe inaperçue.\n- **L'habitude rassure.** Menus de restaurant, stationnement, factures : scanner est devenu banal.\n\nLes signes d'alerte classiques restent valables : urgence, menace de blocage du compte, expéditeur inattendu. Notre article sur les [exemples de courriels d'hameçonnage](\u002Fblogue\u002Freconnaitre-courriel-hameconnage-exemples) les détaille.\n\n## Où on le rencontre : courriels, factures, stationnements\n\nLe quishing se rencontre surtout dans trois contextes : les courriels et les pièces jointes, les paiements, et les codes physiques collés dans des lieux publics.\n\n| Où | Exemple de leurre | Bon réflexe |\n|---|---|---|\n| Courriel | « Réactivez votre MFA », « Document à signer », « Boîte courriel pleine » | Ne pas scanner ; ouvrir le portail habituel en tapant l'adresse |\n| Facture ou avis en PDF | « Payez en scannant ce code » | Vérifier auprès du fournisseur, au numéro du dossier |\n| Stationnement | Étiquette collée sur une borne ou un panneau | Payer à la borne ou avec l'application officielle |\n| Affiche, dépliant, avis de livraison | « Réclamez votre remboursement », « Reprogrammez la livraison » | Taper l'adresse officielle soi-même |\n| Vos propres codes QR | Étiquette d'un fraudeur collée sur votre menu ou votre vitrine | Inspecter régulièrement ; afficher l'adresse en clair sous le code |\n\nLe stationnement est le cas le plus médiatisé au pays. En juillet 2025, l'Agence de mobilité durable de Montréal a mis en garde contre un faux code QR apparu sur un panneau de stationnement, en précisant à Noovo Info que ses panneaux n'ont jamais comporté de codes QR. En avril 2026, la Ville de Mississauga a retiré environ 80 fausses étiquettes de ses bornes et indiqué que des fraudes semblables avaient été signalées à Vancouver, à Montréal, à Ottawa et à Toronto.\n\nPour une PME, retenez surtout le dernier rang du tableau : si vos clients scannent vos codes, un fraudeur peut coller le sien par-dessus.\n\n## Les règles à donner à l'équipe\n\nUne règle simple couvre l'essentiel : on ne se connecte jamais à un compte de l'entreprise, et on ne paie jamais rien, à partir d'un code QR reçu sans l'avoir demandé.\n\nLes autres consignes viennent en bonne partie du Centre canadien pour la cybersécurité :\n\n- [ ] Pour Microsoft 365, Google Workspace ou la banque, taper l'adresse habituelle ou utiliser le favori, jamais un code QR reçu par courriel.\n- [ ] Si une page demande un mot de passe après un scan, vérifier attentivement l'adresse du site.\n- [ ] Utiliser l'appareil photo intégré du téléphone ou un lecteur fiable, pas une application inconnue.\n- [ ] Configurer le téléphone pour qu'il demande une autorisation avant de lancer l'action du code.\n- [ ] Se méfier d'une étiquette qui pourrait recouvrir un autre code, et demander au personnel sur place.\n- [ ] Garder le téléphone à jour, avec les mises à jour automatiques activées.\n- [ ] Signaler tout courriel contenant un code QR suspect, sans le scanner.\n\nAjoutez une consigne interne claire : « L'informatique ne vous demandera jamais de scanner un code QR pour réactiver votre compte. »\n\n::cta{variant=\"audit\"}\n::\n\n## Les mesures techniques qui limitent les dégâts\n\nLa mesure la plus efficace est une authentification résistante à l'hameçonnage : si le compte exige une clé d'accès ou une clé de sécurité FIDO2, un mot de passe volé ne suffit pas, et la fausse page ne peut pas relayer la clé, liée au vrai domaine.\n\nNotre guide de déploiement des [clés d'accès (passkeys)](\u002Fblogue\u002Fcles-acces-passkeys-entreprise) explique comment y arriver, et notre comparatif des [méthodes MFA](\u002Fcomparatifs\u002Fmethodes-mfa-comparatif) montre pourquoi le texto et les codes à six chiffres ne protègent pas contre une fausse page.\n\nEnsuite :\n\n- **Filtrage du courriel** : vérifiez avec votre fournisseur si l'analyse couvre les codes QR dans les images et les pièces jointes.\n- **Accès conditionnel** : bloquez les connexions qui viennent d'appareils inconnus ou de pays où vous n'avez personne.\n- **Appareils mobiles** : si vos employés lisent leurs courriels sur leur cellulaire, encadrez ces appareils (mises à jour, verrouillage, protection des applications).\n- **Simulations** : ajoutez un scénario de code QR à vos exercices de sensibilisation.\n- **Votre domaine** : des fraudeurs peuvent envoyer du quishing à vos clients en votre nom. Vérifiez votre protection avec notre [vérificateur DMARC, SPF et DKIM](\u002Foutils\u002Fverificateur-dmarc-spf-dkim).\n\n## J'ai scanné et entré mon mot de passe : que faire ?\n\nChangez le mot de passe immédiatement à partir d'un autre appareil, puis prévenez l'informatique pour qu'elle révoque les sessions ouvertes.\n\n1. Vérifiez qu'aucune nouvelle méthode MFA n'a été ajoutée au compte.\n2. Cherchez des règles de transfert ou de suppression ajoutées dans la boîte courriel.\n3. Si vous avez saisi une carte de crédit, appelez votre institution financière.\n4. Pour un code de stationnement, signalez-le aussi à la ville ou à l'agence de stationnement.\n5. Signalez la fraude au Centre antifraude du Canada.\n\nNotre article [J'ai cliqué sur un lien d'hameçonnage : que faire](\u002Fblogue\u002Fclique-lien-hameconnage-que-faire) détaille chaque étape, y compris l'évaluation d'un incident de confidentialité au sens de la Loi 25.\n\nPour vérifier que votre filtrage, votre MFA et votre accès conditionnel sont bien réglés, notre [audit Microsoft 365 et Google Workspace](\u002Fservices\u002Faudit-microsoft-365-google-workspace) passe ces paramètres en revue.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":418},[439,442,445,448],{"title":440,"url":441},"Centre canadien pour la cybersécurité : Facteurs relatifs à la sécurité à considérer pour les codes QR (ITSAP.00.141)","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Ffacteurs-relatifs-la-securite-considerer-pour-les-codes-qr-itsap00141",{"title":443,"url":444},"Centre antifraude du Canada : Hameçonnage","https:\u002F\u002Fantifraudcentre-centreantifraude.ca\u002Fscams-fraudes\u002Fphishing-hameconnage-fra.htm",{"title":446,"url":447},"Noovo Info : Mise en garde contre de faux codes QR sur des bornes de stationnement (17 juillet 2025)","https:\u002F\u002Fwww.noovo.info\u002Fnouvelle\u002Ffraude-mise-en-garde-contre-de-faux-codes-qr-sur-des-bornes-de-stationnement.html",{"title":449,"url":450},"City of Mississauga : City warns about fraudulent QR codes on parking machines (24 avril 2026)","https:\u002F\u002Fwww.mississauga.ca\u002Fcity-of-mississauga-news\u002Fnews\u002Fcity-warns-about-fraudulent-qr-codes-on-parking-machines\u002F","blogue\u002Fhameconnage-code-qr-quishing",[453,454,455,456,457],"hameçonnage","code qr","quishing","sensibilisation","mfa",null,"JfD19dPsqySA4rnh7r0y_K7iS14MGNqoYUp2YCvllS8",{"path":461},"\u002Fen\u002Fblog\u002Fqr-code-phishing-quishing",[463,470,477],{"path":464,"title":465,"description":466,"category":416,"minutes":27,"tags":467},"\u002Fblogue\u002Fauthentification-multifacteur-choisir-mfa","Authentification multifacteur : pourquoi le SMS ne suffit plus","Texto, notification, clé FIDO2 ou passkey : comparez les méthodes d'authentification multifacteur et choisissez celle qui résiste vraiment à l'hameçonnage.",[457,468,453,469],"authentification","microsoft 365",{"path":316,"title":471,"description":472,"category":416,"minutes":27,"tags":473},"Clés d'accès (passkeys) en entreprise : le guide de déploiement","Microsoft 365 ou Google Workspace : comment déployer les clés d'accès (passkeys) dans votre PME, étape par étape, sans oublier la récupération des comptes.",[474,475,457,469,476],"passkeys","clés d'accès","google workspace",{"path":478,"title":479,"description":480,"category":416,"minutes":27,"tags":481},"\u002Fblogue\u002Fusurpation-identite-entreprise-faux-site","Faux site qui usurpe votre entreprise : détecter et faire retirer","Domaine sosie, faux site, fausse page Facebook : comment repérer l'usurpation de votre entreprise et faire retirer un faux site, étape par étape.",[482,453,483,484],"usurpation","noms de domaine","pme",1792970122079]