The booby-trapped QR code
Free
A QR code or a text message that asks you to sign in or pay is a link you couldn't read first. Go through the app or the address you know, and report the message.
- 3 min
- 3-question check
- English · Français
- Attestation
You will be able to
- Recognise a booby-trapped QR code or text message: sticker, urgency, a request to sign in or pay
- Never sign in or pay from a QR code or a text message: use the official app or an address you type yourself
- Report the message (texts to 33700 in France, emails to IT) and warn at once if you have already entered something
The module
3 min-
The booby-trapped QR code 2 min
-
Knowledge check
3 questions, pass mark 80 %. Explanations after each answer; you can try again.
-
Attestation
One per person, with the date, the score and the frameworks covered — anyone can check it online with its code.
Sources
- Microsoft Threat Intelligence, Email threat landscape: Q1 2026 trends and insights, 30 avr. 2026 (attaques par QR code : 7,6 millions en janvier, 18,7 millions en mars ; URL cachée dans une image, ouverte sur un mobile non géré). Le trimestre suivant, le volume a baissé (Microsoft, 23 juil. 2026) : les vagues vont et viennent, le réflexe reste
- Cybermalveillance.gouv.fr, Le quishing : l'hameçonnage par QR code ; Le smishing ou hameçonnage par SMS ; campagne de messages frauduleux réclamant le paiement d'une contravention (l'ANTAI n'envoie jamais de SMS ; seul site de paiement : amendes.gouv.fr)
- economie.gouv.fr (DGCCRF), Arnaque au QR code ou quishing : vérifier qu'aucun autocollant n'a été collé par-dessus, lire l'adresse affichée avant d'ouvrir
- Faux QR codes sur des horodateurs : Nice et Saint-Laurent-du-Var (mars 2025, France 3 Côte d'Azur), Marseille (avr. 2025, ICI)
- 33700 : service de signalement des SMS et appels indésirables des opérateurs (CNIL, DGCCRF) ; transférer le SMS, puis le numéro de l'expéditeur
- À retenir : sur un téléphone personnel, le lien échappe aux protections de la messagerie de l'entreprise ; victime d'un paiement : prévenir sa banque, 17Cyber, puis porter plainte
Version 1 · updated October 5, 2026