QR codes en entreprise : risques des générateurs en ligne

Affiches, brochures, badges, étiquettes de matériel, cartes de visite, accès Wi-Fi invité : les QR codes en entreprise sont partout, parce qu'ils sont pratiques et gratuits à produire. Mais un QR code n'est rien d'autre qu'un lien caché dans une image. Celui qui contrôle ce lien, ou l'outil qui l'a généré, contrôle la destination de tous ceux qui scannent.

Cet article présente les risques liés à la génération des QR codes, qu'ils servent à la communication ou à l'exploitation, en particulier lorsque l'on utilise un mauvais site pour les créer, et propose une politique simple pour les encadrer.

Un QR code, c'est un lien : ce que cela implique

Un QR code encode une donnée : le plus souvent une adresse web, mais aussi un accès Wi-Fi, une fiche de contact, un numéro de téléphone ou un lien de paiement. Il n'affiche pas la destination : l'utilisateur doit faire confiance à l'image, et à l'endroit où elle est affichée.

C'est ce qui a fait du quishing (hameçonnage par QR code) une menace en croissance. Cybermalveillance.gouv.fr décrit le quishing comme un hameçonnage opéré par QR code, avec des exemples comme de faux avis de contravention, de faux avis de passage postal, de faux QR codes sur des parcmètres ou des bornes de recharge, ou encore de faux QR codes d'authentification Office 365. Selon ESET, des QR codes malveillants figuraient dans environ 11 % des e-mails de phishing au premier semestre 2026, car ils échappent souvent aux filtres et déplacent la victime vers un téléphone moins protégé qu'un poste d'entreprise.

Les risques d'un mauvais générateur de QR code

Pour créer un QR code, beaucoup de salariés cherchent « générateur de QR code gratuit » et utilisent le premier site venu. Or ces sites ne sont pas tous neutres.

1. Le QR dynamique passe par le serveur du fournisseur

La plupart des générateurs proposent des QR codes dynamiques : le code ne contient pas votre adresse, mais celle d'un serveur de redirection du fournisseur, qui vous renvoie ensuite vers la destination réelle. C'est pratique (on peut modifier la destination et suivre les scans), mais cela crée une dépendance, comme l'explique Doppel :

• le fournisseur voit chaque scan (heure, appareil, localisation approximative) ;
• si votre compte est compromis, un attaquant peut changer la destination de tous vos codes ;
• si vous arrêtez de payer, ou si le service ferme, le code peut cesser de fonctionner ou rediriger ailleurs ;
• si le service est lui-même compromis, tous ses clients sont exposés.

Le cas d'école est celui d'un domaine de campagne qui expire : un tiers le rachète et redirige les anciens scans vers un contenu que la marque n'a jamais choisi. C'est ce que rappelle cet article sur les QR codes dynamiques, en citant l'exemple d'une campagne de ketchup en 2015.

2. Les sous-domaines abandonnés

Certaines entreprises font pointer un sous-domaine (par exemple qr.entreprise.fr) vers le fournisseur. Quand la campagne se termine et que l'abonnement s'arrête, l'enregistrement DNS reste parfois en place. Doppel note qu'un attaquant peut alors réclamer ce sous-domaine chez le fournisseur et détourner le trafic de vos anciens codes. Les filtres de sécurité, eux, voient un domaine légitime et laissent passer.

3. Vos données partent chez un tiers

Ce que vous saisissez dans un générateur en ligne est envoyé à un serveur. C'est particulièrement risqué pour :

• un accès Wi-Fi (nom du réseau et mot de passe) ;
• une fiche de contact avec des données personnelles ;
• un lien interne (documentation, portail, intranet) ;
• un jeton, un lien de réinitialisation ou un secret d'authentification : ne les transformez jamais en QR code sur un site inconnu.

4. Les faux générateurs et les sites piégés

Comme pour tout outil gratuit, certains sites sont des copies malveillantes ou remplis de publicités trompeuses. Ils peuvent afficher un QR code qui pointe vers leur propre redirection, collecter des données, ou pousser un téléchargement. Une page d'accueil qui vous oblige à créer un compte pour un simple QR statique, ou qui réclame un paiement pour « débloquer » le code, mérite la méfiance.

5. Un code qui n'encode pas ce que vous croyez

Un QR code généré n'est jamais vérifié visuellement : deux images identiques peuvent mener à deux destinations différentes. Il faut donc toujours tester le code et lire le contenu réel avant de l'imprimer.

Les risques selon l'usage en entreprise

Le risque physique : les autocollants superposés

Le FBI a alerté dès janvier 2022, dans un avis du centre IC3, sur des QR codes légitimes remplacés par des codes frauduleux, notamment sur des bornes de paiement de stationnement au Texas, où de faux autocollants étaient placés sur les codes d'origine. Le FBI a aussi signalé, en 2025, des colis non sollicités contenant des QR codes utilisés pour lancer des fraudes.

Cela vaut aussi pour vos propres supports : un QR code affiché à l'accueil, dans un couloir ou sur un produit peut être recouvert.

Comment encadrer les QR codes en entreprise

1. Une règle simple : qui peut générer, avec quoi

• Désignez un ou deux outils autorisés : outil interne, ou générateur qui fonctionne hors ligne ou localement dans le navigateur (sans envoyer vos données).
• Interdisez les générateurs en ligne pour les données sensibles (Wi-Fi, jetons, contacts internes).
• Le générateur de QR code Wi-Fi de ForenShield, par exemple, fonctionne localement : le nom du réseau et le mot de passe ne quittent pas votre appareil. Cette mention vaut transparence : c'est notre outil.

2. Privilégier le QR statique, sauf besoin précis

Un QR statique contient directement l'adresse : pas de serveur intermédiaire, pas d'abonnement, pas de suivi. Utilisez un QR dynamique uniquement si vous avez besoin de modifier la destination, et dans ce cas :

• passez par votre propre domaine ou un service dont vous contrôlez le compte ;
• protégez le compte avec une authentification multifacteur et des droits limités ;
• prévoyez la fin de vie : date d'expiration, suppression du compte et de l'enregistrement DNS associé.

3. Tenir un registre des QR codes

Pour chaque code : adresse de destination, propriétaire, outil de génération, date de création et d'expiration, emplacement des supports imprimés. Sans registre, impossible de savoir quels codes désactiver ou remplacer.

4. Rendre la destination visible et vérifiable

• Affichez l'adresse en toutes lettres sous le QR code : un lecteur attentif peut comparer.
• Utilisez une destination en HTTPS, sur un domaine de l'entreprise.
• Préférez des adresses courtes et lisibles, sans redirections inutiles.

5. Tester avant d'imprimer

Décodez le code avec au moins deux lecteurs et vérifiez l'adresse finale après redirections. Si la destination est différente ou passe par un domaine inconnu, n'imprimez pas. Pour analyser une adresse suspecte sans la visiter, vous pouvez utiliser notre décodeur de liens.

6. Protéger les supports physiques

• Placez les codes dans des zones surveillées ou sous protection (cadre scellé, support fixe).
• Vérifiez périodiquement les affichages : un autocollant décollé, épais ou de travers peut cacher un faux code, comme le rappelle Cybermalveillance.gouv.fr.
• Utilisez des supports difficiles à recouvrir, ou un contrôle visuel simple lors de vos rondes.

7. Former les équipes

Apprenez aux salariés à traiter un QR code comme un lien : vérifier l'adresse affichée après le scan, ne jamais saisir de mot de passe ou de code MFA sur un site atteint par un QR code non sollicité, et signaler les codes suspects. Notre module de sensibilisation au phishing et notre guide pour analyser un e-mail de phishing sont de bons points de départ.

8. Côté messagerie et mobiles

ESET recommande une approche en trois volets : formation des utilisateurs, solutions de sécurité de messagerie capables de détecter le phishing par QR code, et authentification multifacteur résistante au phishing sur les comptes sensibles. La gestion des appareils mobiles aide à appliquer des règles cohérentes sur les téléphones.

Checklist rapide

Points clés

• Un QR code est un lien : celui qui contrôle l'outil ou la destination contrôle les scans.
• Les QR dynamiques passent par le serveur du fournisseur : dépendance, suivi, expiration et risque de détournement.
• Les générateurs en ligne reçoivent vos données : jamais de Wi-Fi, de jetons ou de secrets sur un site inconnu.
• Les autocollants superposés et le quishing rendent les supports physiques et les e-mails vulnérables.
• Mettez en place une politique : outils autorisés, QR statiques par défaut, registre, tests et formation.