Une alerte sur les comptes de messagerie
Dans une note publiée le 20 mars 2026 puis mise à jour le 18 juin, le CERT-FR décrit des attaques visant notamment des comptes Signal. Une fausse invitation à un groupe pousse la victime à scanner un QR qui sert en réalité à associer un appareil contrôlé par l’attaquant.
Le CERT-FR indique que ces campagnes détournent des fonctions légitimes de l’application, sans exploiter une vulnérabilité de Signal. Il évoque aussi des méthodes applicables à d’autres messageries, comme WhatsApp. Ce constat français ne fournit pas un décompte de victimes en Belgique.
Un QR peut servir à associer un appareil
Un QR ne contient pas nécessairement un lien vers une page web. Dans une messagerie, il peut aussi participer à une opération sur le compte. Signal documente par exemple l’association d’un appareil depuis les paramètres du téléphone principal, en scannant le QR affiché sur l’appareil à ajouter.
La question utile est donc : quel appareil êtes-vous en train d’autoriser ? L’association doit correspondre à une démarche que vous avez engagée pour un appareil que vous maîtrisez. Une promesse de groupe ou le nom affiché par un expéditeur ne répond pas à cette question.
Avant de scanner ou de confirmer
Exemple fictif : une personne se présente comme membre d’une association et vous envoie un QR pour un groupe de bénévoles. Au moment de poursuivre, l’application propose d’associer un nouvel appareil. Cette demande ne correspond pas à l’invitation annoncée : arrêtez l’opération et vérifiez auprès de votre contact habituel.
- Confirmez une invitation inattendue par un autre canal connu, sans utiliser les coordonnées fournies dans le message suspect.
- Lisez l’action affichée par l’application ; annulez toute association que vous n’avez pas demandée.
- Ne transmettez pas votre code de vérification, votre code PIN ou votre mot de passe à la personne qui vous contacte.
- Pour ajouter votre propre ordinateur, partez des instructions officielles de votre messagerie et du QR affiché sur cet ordinateur.
Vous avez validé une association inattendue ?
Ouvrez les paramètres de votre messagerie depuis votre téléphone et examinez les appareils associés. Pour Signal, la documentation officielle explique comment consulter cette liste et dissocier un appareil selon votre système. Ne suivez pas une procédure de récupération envoyée par le compte suspect.
Retirer un appareil inconnu limite son accès futur ; cela ne permet pas de récupérer les données déjà consultées ou copiées. Avoir encore accès à votre propre compte ne suffit pas non plus à écarter un accès tiers.
Prévenez vos contacts par un autre canal si des messages ont pu être envoyés à votre place. Pour un compte utilisé au travail, contactez aussi votre service informatique. En cas de perte d’accès, suivez l’assistance officielle du service concerné.
En Belgique, garder les réflexes contre le phishing
Le détournement d’une association n’est pas le seul risque. Un QR peut aussi mener vers une fausse page qui réclame vos identifiants. Safeonweb présente cette forme d’hameçonnage par QR sous le nom de « quishing ».
Le 21 octobre 2026, Safeonweb a également alerté sur de faux concours de votes sur WhatsApp. Dans ce cas, la demande passe par un site et un code de vérification pour associer un appareil, sans QR mentionné. Le scénario diffère de la fausse invitation Signal, mais rappelle pourquoi une demande de code ou d’association doit être examinée, même si le message vient d’un contact connu.
Safeonweb — alerte WhatsApp du 21 octobre 2026
Si une page inattendue demande une connexion ou des données sensibles, fermez-la et retrouvez le service par son application ou une adresse que vous connaissez déjà. Pour signaler un message suspect en Belgique, consultez les consignes de Safeonweb. Le signalement ne remplace pas les démarches pour protéger un compte déjà affecté.
Ce que le lecteur Qurl peut vérifier
Le lecteur Qurl peut extraire le contenu d’une image QR sans ouvrir automatiquement sa destination. Pour un lien web, il affiche aussi le domaine. Cela aide à lire ce que l’image contient, mais ne prouve ni l’identité de l’expéditeur ni la sécurité de la destination.
Qurl n’inspecte pas votre compte Signal ou WhatsApp, ne contrôle pas les appareils associés et ne certifie pas une invitation. Si un contenu vous paraît inconnu, ne le collez pas dans une messagerie pour essayer de le faire fonctionner. Revenez aux instructions officielles du service.
Lire le contenu d’une image QR · Consulter nos repères de sécurité