Une alerte qui vise les colis non sollicités
Dans une alerte publiée le 31 juillet, le FBI décrit des envois non sollicités accompagnés d’un QR code. L’absence d’informations sur l’expéditeur peut pousser le destinataire à chercher une explication en scannant. Le parcours l’amène alors à communiquer des données personnelles ou financières, ou à télécharger un logiciel malveillant.
L’agence précise que cette fraude est moins répandue que d’autres escroqueries. Son avertissement ne permet donc pas de parler d’une vague touchant tous les colis, ni de considérer tout cadeau inattendu comme frauduleux. Le point décisif reste la demande qui accompagne l’envoi.
Le cadeau devient un prétexte pour demander des données
Le procédé prolonge le « brushing ». Dans sa forme habituelle, un vendeur expédie un objet non commandé puis utilise les informations du destinataire pour publier un avis positif. La variante avec QR ajoute une autre étape : faire participer la personne à une démarche qui semble expliquer le cadeau.
La FTC avait déjà décrit en janvier des messages proposant d’identifier l’expéditeur ou d’obtenir des instructions de retour. En février, l’inspection postale américaine évoquait aussi l’enregistrement d’un cadeau. Ces scénarios ont un point commun : un service apparemment anodin sert à justifier la saisie d’informations.
Vérifier le colis par un accès indépendant
Commencez par vos commandes et les personnes susceptibles de vous avoir envoyé un cadeau. Si un transporteur ou une boutique est cité, ouvrez son application habituelle ou son site connu. Une référence de suivi peut aider à poser une question au service client ; le QR du colis n’a pas besoin de devenir votre point d’entrée.
Une page qui demande une carte bancaire, un mot de passe ou une installation pour révéler le nom d’un expéditeur mérite un arrêt. Le logo affiché et le fait que le colis porte votre adresse ne suffisent pas à authentifier cette page. Le guide des destinations inattendues explique comment distinguer le contenu du QR de la page finalement ouverte.
Après un scan, distinguer ce qui a été fait
Avoir lu le code, ouvert un lien, saisi un identifiant et installé une application sont des actions différentes. Si vous avez transmis un mot de passe, modifiez-le depuis le service officiel et vérifiez les accès au compte. Si vous avez communiqué des données de paiement, contactez votre banque par son canal habituel. Gardez une trace du colis et de la demande reçue.
Pour comprendre une image déjà en votre possession, le lecteur Qurl peut afficher le contenu d’un QR sans ouvrir automatiquement sa destination. Ce résultat aide à lire une adresse ; il ne certifie pas l’expéditeur ou l’innocuité du site. Le guide de sécurité des QR détaille les vérifications utiles.