Commencez par vous situer dans l’un des trois états
Un QR code sur un colis que vous n’attendiez pas — expéditeur inconnu, étiquette « retour » ou « nouvelle livraison », mot demandant de confirmer une adresse — est un lien que vous n’avez pas demandé. La bonne question n’est pas « ce colis est-il réel ? » mais « jusqu’où ce code est-il allé dans mes comptes ? »
Utilisez ce tableau pour identifier votre état avant toute autre chose.
| État | Ce qui s’est passé | Que faire en premier |
|---|---|---|
| A. Non ouvert | Vous avez le colis ou l’étiquette, mais vous n’avez pas scanné le code | Ne le scannez pas pour « voir ce que c’est ». Conservez l’emballage et notez le texte de l’expéditeur, la date et les marquages du transporteur |
| B. Scanné seulement | Le code a ouvert une page ou une invite d’application, mais vous n’avez saisi ni mot de passe, ni code, ni numéro de carte | Fermez la page. Ne saisissez rien. Vérifiez le compte que la page prétendait représenter via son application officielle ou un favori que vous possédez déjà |
| C. Identifiants saisis | Vous avez saisi un mot de passe, un code à usage unique, un numéro de carte ou d’autres identifiants après avoir scanné | Considérez le compte comme exposé et passez aux étapes de récupération ci-dessous |
Ne scannez pas le code pour tester, même sur un appareil de rechange. Le scan est précisément l’étape qui charge la page.
État A : le code n’est pas encore scanné
Vous n’avez pas besoin d’identifier l’expéditeur pour vous protéger. Vous devez éviter d’utiliser la route imprimée.
- Ne scannez pas le code et n’ouvrez aucun lien court imprimé à côté.
- Conservez l’emballage et l’étiquette. Photographiez l’étiquette, la ligne de l’expéditeur et tout numéro de suivi. C’est pour vos propres archives, pas une preuve que l’expéditeur est légitime.
- Vérifiez s’il s’agit d’une livraison que vous avez réellement commandée. Utilisez l’application du transporteur ou du commerçant, ou un site que vous ouvrez vous-même, pas le numéro de téléphone ni le lien figurant sur l’étiquette.
- Si le colis est vraiment inattendu et que vous ne pouvez le rattacher à aucune commande, traitez-le comme non sollicité. Ce que vous pouvez en faire dépend de votre lieu de résidence ; cet article ne donne pas de conseil juridique pour un pays donné.
- Signalez-le si vous le souhaitez. Aux États-Unis, la FTC publie des conseils aux consommateurs sur les SMS et colis frauduleux. Les procédures de signalement varient selon les pays : adressez-vous à votre autorité locale de protection des consommateurs plutôt que de supposer qu’un processus américain s’applique.
Un colis qui arrive sans commande correspondante n’est pas automatiquement un délit, et un QR code n’est pas automatiquement malveillant. Le point est que vous ne pouvez pas le savoir à partir de l’étiquette seule, et que vous n’avez donc pas besoin de prendre le risque pour le découvrir.
La FTC avertit qu’un QR code sur un colis inattendu peut mener à un site d’hameçonnage qui dérobe des identifiants ou des informations de paiement, ou à un logiciel malveillant. Source
État B : scanné, mais rien saisi
Si le code a ouvert une page et que vous vous êtes arrêté avant de taper quoi que ce soit, votre tâche principale est de confirmer l’état réel du compte par une voie que vous maîtrisez.
- Fermez la page ou l’invite de l’application. Ne « connectez-vous pas pour annuler » et ne « confirmez pas la livraison » sur la page ouverte par le code.
- Ouvrez l’application officielle du service, ou tapez son adresse vous-même dans un nouvel onglet du navigateur. Ne réutilisez pas le lien issu du scan.
- Vérifiez si l’événement annoncé existe. Si la page disait qu’un colis était retenu, cherchez la même notification dans l’espace compte du transporteur ou du commerçant lui-même. Si rien n’y figure, la page n’était pas une vraie notification.
- N’installez rien de ce que la page propose. Une invite d’installation d’application issue d’un QR code de colis n’est pas une exigence de livraison que vous pouvez vérifier.
- Notez ce que la page demandait — mot de passe, numéro de carte, code à usage unique, frais de livraison — afin de pouvoir le décrire précisément si vous le signalez.
Le seul fait d’avoir scanné ne prouve pas que vos comptes ont été consultés. Le risque dans cet état réside dans ce que vous faites ensuite : la prochaine action sûre est donc d’arrêter d’utiliser la route imprimée.
État C : des identifiants ont été saisis
C’est l’état qui exige d’agir, et l’ordre compte.
Si des identifiants de compte ont été saisis après avoir scanné un tel code, la FTC conseille de changer le mot de passe et d’activer l’authentification à deux facteurs. Source
Suivez ces étapes dans l’ordre, en utilisant l’application du compte lui-même ou une page que vous ouvrez vous-même :
- Changez le mot de passe depuis l’application ou le site officiel, pas depuis la page ouverte par le code.
- Activez l’authentification à deux facteurs si elle ne l’est pas déjà. Privilégiez une application d’authentification ou une clé matérielle plutôt que le SMS lorsque le compte le propose.
- Changez le même mot de passe partout où vous l’avez réutilisé. Un mot de passe saisi sur une page d’hameçonnage doit être considéré comme connu de quelqu’un d’autre.
- Si vous avez saisi des coordonnées de carte ou bancaires, contactez l’émetteur de la carte ou la banque au numéro figurant sur votre carte ou via son application officielle. N’utilisez pas un numéro ou un lien provenant du colis ou de la page scannée. Cet article ne promet pas qu’un paiement puisse être annulé.
- Conservez l’accès à votre méthode de récupération jusqu’à la fin. Ne supprimez pas votre e-mail, votre numéro de téléphone ou vos codes de récupération avant que le changement de mot de passe et la configuration de la double authentification ne soient confirmés fonctionnels, sous peine de vous verrouiller vous-même.
- Passez en revue l’activité récente du compte dans l’application officielle : lieux de connexion, applications connectées, règles de transfert et moyens de paiement. Annulez tout ce que vous ne reconnaissez pas.
Supprimer une connexion de connexion ou modifier un profil n’équivaut pas à supprimer les données stockées. Si vous fermez entièrement un compte, suivez la procédure de fermeture du fournisseur et gardez une méthode de récupération fonctionnelle jusqu’à confirmation de la fermeture.
Utilisez des voies de compte connues, pas le code imprimé
Une étiquette de colis peut imprimer n’importe quelle adresse, numéro de téléphone ou QR code. Elle ne peut pas prouver qui possède la destination. Pour toute décision liée à un compte — réinitialisation de mot de passe, confirmation de livraison, paiement, remboursement — partez d’une voie à laquelle vous faites déjà confiance :
| Tâche | Point de départ fiable |
|---|---|
| Confirmer une livraison | L’application du transporteur ou du commerçant, ou une adresse que vous tapez vous-même |
| Réinitialiser un mot de passe | L’application ou le site officiel du service, ou sa procédure documentée de récupération de compte |
| Vérifier un paiement | L’application de votre banque ou de l’émetteur de la carte, ou le numéro figurant sur votre carte |
| Signaler un message suspect | Votre autorité locale de protection des consommateurs ; aux États-Unis, les conseils publiés par la FTC |
Si un message prétend venir d’un compte d’assistance et vous demande de poursuivre la conversation sur une messagerie ou de « vérifier » en vous connectant, la même règle s’applique : confirmez via l’application du service lui-même. Pour cette situation distincte, voir vérifier les faux comptes d’assistance client sur les réseaux sociaux.
Une correspondance de nom d’utilisateur public est une piste, pas une preuve de propriété. Si vous cherchez à identifier qui se cache derrière un identifiant qui vous a contacté, une recherche de nom d’utilisateur comme TraceSeek peut montrer où un identifiant apparaît sur plus de 3 000 plateformes, mais elle ne modifie pas les paramètres du compte, n’émet pas de codes de récupération, ne récupère pas d’argent et ne vérifie pas une identité réelle.
Ce qu’il ne faut pas en conclure
- Tous les scans de QR code n’installent pas de logiciel malveillant. La FTC décrit l’hameçonnage et les logiciels malveillants comme des issues possibles ; elle ne dit pas que chaque scan produit l’un ou l’autre.
- Une page scannée qui semblait réelle ne prouve pas qu’elle l’était. Vérifiez l’événement annoncé dans l’application du service lui-même.
- Un colis sans commande correspondante n’identifie pas l’expéditeur. Ne considérez pas un nom ou une adresse de retour sur l’étiquette comme vérifiés.
- Les règles relatives aux biens non sollicités diffèrent selon les pays. Cet article n’étend aucune règle nationale à d’autres marchés.
- Changer un mot de passe ne garantit pas la récupération. Cela réduit l’exposition ; la restauration d’un compte ou d’un paiement dépend du fournisseur.
Une courte fiche à copier
Remplissez-la avant d’agir, pour ne pas avoir à la reconstituer plus tard :
- État : A / B / C
- Date et heure du scan (le cas échéant) :
- Ce que la page ou l’invite prétendait être (transporteur, commerçant, banque, autre) :
- Ce qu’elle demandait (mot de passe / code à usage unique / numéro de carte / frais / installation d’application) :
- Ce que vous avez saisi, le cas échéant :
- Comptes concernés :
- Mot de passe changé : oui / non — depuis l’application ou le site officiel : oui / non
- Double authentification activée : oui / non
- Méthode de récupération toujours accessible : oui / non
- Émetteur de la carte contacté (si des coordonnées de carte ont été saisies) : oui / non
- Signalé à (autorité locale, transporteur, commerçant) :
Une fois cela fait, la prochaine action utile est de confirmer chaque compte concerné depuis son application : mot de passe changé, double authentification activée, méthode de récupération fonctionnelle, et aucune session ni application connectée non reconnue.