Arnaque au QR code (quishing) : vérifier un code avant de le scanner ou de payer

Qu’est-ce que le quishing, l’arnaque au QR code ?

Le quishing, ou arnaque au QR code, est un hameçonnage qui utilise un QR code piégé : le mot mélange « QR » et « phishing », le nom anglais de l’hameçonnage. Une fois scanné, le code peut vous mener vers un site frauduleux ou vous pousser à télécharger un logiciel malveillant, explique le ministère de l’Économie. La page imite en général un service de stationnement, un transporteur, une banque ou une administration, et demande un numéro de carte, un identifiant ou un paiement.

Le code lui-même n’est pas la partie dangereuse. C’est une façon d’écrire une adresse internet que vos yeux ne peuvent pas lire mais que votre téléphone sait lire. Tout ce qui fait marcher l’arnaque arrive après : une page qui a l’air familière, une raison de se dépêcher, et un champ qui veut votre argent ou votre mot de passe.

Ce n’est donc pas un type de fraude vraiment nouveau. C’est l’hameçonnage habituel avec un autre moyen de livraison. Cybermalveillance.gouv.fr estime que cette menace reste relativement mineure par rapport aux autres formes d’hameçonnage, mais qu’elle est réelle, parce qu’un lien caché dans un QR code est encore plus difficile à juger qu’un lien écrit.

L’autocollant posé sur un vrai code

Dans la rue, la version la plus connue est un autocollant imprimé, collé par-dessus un code qu’une vraie entreprise ou une collectivité avait placé. Cybermalveillance.gouv.fr cite de faux QR codes collés sur des parcmètres et sur des bornes de recharge de véhicules électriques. Le ministère de l’Économie ajoute les affiches, les prospectus et les menus de restaurant.

Deux choses en découlent. D’abord, l’organisme dont le code a été recouvert est victime lui aussi. La ville, l’opérateur de stationnement ou le restaurant ne vous a envoyé nulle part, et le personnel ne sait souvent pas que l’autocollant est là. Ensuite, le signe est physique : un code sur un autocollant posé sur un autre code, un papier d’une autre texture que le panneau, un coin qui se décolle, un code scotché au lieu d’être imprimé dans la surface. Le ministère de l’Économie le dit simplement : si un autre QR code apparaît en dessous, cela doit vous alerter.

Les endroits à regarder avant de scanner :

• les parcmètres et horodateurs, où l’on s’attend à payer et où l’on est souvent pressé ;
• les bornes de recharge pour voitures électriques ;
• les menus et les présentoirs sur les tables de restaurant, où le code est petit et la lumière faible ;
• les affiches, les prospectus et les panneaux que n’importe qui peut imprimer ou compléter.

Un code arrivé dans un courrier ou un message inattendu

La deuxième version arrive autrement : un code dans un e-mail, un SMS, un message privé ou un courrier papier. Le message vous donne une raison de scanner, et cette raison est presque toujours un petit problème à régler tout de suite.

Cybermalveillance.gouv.fr cite de faux avis de contravention reçus à domicile ou laissés sur le pare-brise de voitures garées dans plusieurs villes de France, et de faux avis de passage déposés dans les boîtes aux lettres. Les administrations et les transporteurs dont le nom est repris ne sont pas les auteurs de ces faux avis. Le ministère de l’Économie ajoute que l’envoi d’un QR code par e-mail peut sembler étrange, puisqu’il faut un deuxième appareil pour le scanner, mais qu’il est de plus en plus utilisé dans les messages d’hameçonnage.

Un courrier papier avec un code est plus difficile à mettre de côté, parce que le papier fait officiel. Cela ne doit pas changer la vérification. N’importe qui peut imprimer une lettre, et un code imprimé dessus peut mener n’importe où. Une vraie amende se retrouve en vous connectant vous-même au site officiel en .gouv.fr, pas en scannant un code laissé sur votre pare-brise.

Comment vérifier un code avant d’ouvrir la page

La vérification porte sur l’adresse, pas sur le code. La plupart des appareils photo de téléphone affichent l’adresse dans un bandeau ou un aperçu avant d’ouvrir quoi que ce soit, et cet aperçu est votre meilleure protection.

1. Regardez d’abord l’autocollant si le code est dans un lieu public. S’il est collé sur un autre code ou se décolle au coin, ne le scannez pas. Payez à la machine, au comptoir, ou par l’application ou le site officiel de l’exploitant.
2. Lisez l’adresse dans l’aperçu avant de toucher. Le ministère de l’Économie demande de vérifier qu’elle correspond bien au site sur lequel vous êtes censé arriver. Une longue adresse qui contient le nom d’une entreprise quelque part au milieu n’est pas le site de cette entreprise. Notre article vérifier si un lien est sûr montre où se trouve la partie qui compte.
3. Considérez une adresse raccourcie comme illisible. Si l’aperçu ne montre qu’un service de raccourcissement de liens, vous ne pouvez pas savoir où il mène. La vérification a échoué : fermez.
4. Allez vous-même à la source quand on vous demande quelque chose. Tapez l’adresse de l’organisme ou ouvrez une application déjà installée, et cherchez la même demande là-bas. Si elle est vraie, elle sera dans votre compte.
5. Arrêtez-vous à la première demande de mot de passe, de numéro de carte ou de paiement. C’est le moment où une fausse page récupère ce qu’elle cherche, et le moment où fermer l’onglet ne vous coûte rien. Au moindre doute, n’ouvrez pas le lien, conseille le ministère de l’Économie.

Si l’aperçu ne vous inspire pas, si la page demande de vous connecter tout de suite, ou si elle affiche un compte à rebours ou une amende qui augmente, fermez et repartez du vrai site de l’organisme.

Pourquoi ne pas payer par un code que vous n’avez pas demandé

Un code arrivé tout seul qui demande de l’argent est le cas le plus risqué, parce que le paiement est l’arnaque elle-même. Il n’y a pas d’étape plus tard où vous pourrez vérifier. Si vous payez par un code non sollicité, l’argent part d’abord et les questions viennent ensuite.

Les vraies factures vous arrivent par un canal que vous connaissez déjà : un compte où vous pouvez vous connecter, un relevé, un courrier que vous attendiez, une facture d’un fournisseur avec qui vous travaillez. Si un code vous parle d’un stationnement impayé, de frais de livraison, d’une coupure d’électricité imminente ou d’une amende, allez sur le site ou l’application officielle de cet organisme et regardez si la dette y existe. Les faux SMS de péage suivent le même modèle, expliqué dans faux SMS de péage.

Regardez aussi le moyen de paiement. Une page qui n’accepte que des coupons prépayés, un virement vers un particulier ou des cryptoactifs vous dit quelque chose, parce que ces paiements sont difficiles à annuler.

Que faire si vous avez déjà scanné un faux code

Scanner seul ne cause en général aucun dommage. Ce qui compte, c’est de savoir si vous avez saisi quelque chose ou payé. Le ministère de l’Économie distingue les cas : si l’adresse vous semblait suspecte et que vous ne l’avez pas ouverte, il n’y a rien d’autre à faire. Sinon, suivez cet ordre, en commençant par le compte le plus exposé.

1. Si vous avez saisi des données de carte, faites opposition tout de suite par l’application de votre banque, le numéro au dos de la carte ou le serveur interbancaire d’opposition. Pour un paiement par carte fait à votre insu, service-public.gouv.fr indique que la banque doit rembourser au plus tard à la fin du premier jour ouvrable après votre contestation, mais qu’elle peut refuser si l’opposition a été faite tardivement. Un paiement frauduleux de plus de 13 mois ne peut plus être remboursé.
2. Signalez les achats frauduleux sur Perceval si votre carte est restée en votre possession. Vous recevez un récépissé utile pour la banque.
3. Changez le mot de passe de tout compte où vous vous êtes connecté. Faites-le sur le vrai site, pas par un lien de la page que vous venez de quitter, et partout où vous utilisiez le même.
4. Activez la double authentification sur ce compte, pour qu’un mot de passe volé ne suffise plus. Si vous avez validé une connexion ou tapé un code reçu par SMS sur cette page, considérez que quelqu’un est peut-être déjà entré et regardez les appareils connectés au compte.
5. Si le code vous a fait installer une application, désinstallez-la, et faites-vous aider par 17Cyber, qui fait un diagnostic de votre situation et vous oriente.
6. Surveillez vos relevés pendant les semaines suivantes. De petits débits passent parfois avant des montants plus gros.
7. Gardez les preuves. Photographiez l’autocollant ou le courrier, gardez le message, et notez l’adresse que le code a ouverte.

Où signaler une arnaque au QR code

Signalez-la à deux endroits : aux autorités, pour que la méthode soit connue, et à l’organisme dont le code ou le nom a été utilisé, pour qu’il retire l’autocollant ou prévienne ses clients.

• Si on vous a demandé de l’argent : le ministère de l’Économie indique que vous pouvez porter plainte en ligne sur THESEE, même si vous n’avez rien versé, prendre rendez-vous pour porter plainte, ou vous rendre en commissariat ou en brigade de gendarmerie.
• Si vous ne savez pas par où commencer : 17Cyber vous oriente, et Info Escroqueries répond au 0 805 805 817, du lundi au vendredi de 9 h à 18 h 30, appel gratuit.
• Si le code est arrivé par SMS : transférez le message au 33700, la plateforme de signalement des SMS indésirables.

Prévenez ensuite l’organisme. Une ville, un opérateur de stationnement, un restaurant ou un exploitant de bornes peut retirer un autocollant rapidement si quelqu’un lui signale qu’il est là, et une entreprise imitée peut publier une alerte. Passez par ses coordonnées officielles, pas par celles inscrites à côté du code suspect.

Ce que la vérification ne peut pas faire

Lire l’adresse avant de l’ouvrir permet de repérer la plupart de ces codes, mais ce n’est pas une garantie, et il vaut mieux connaître ses limites.

Un aperçu peut être trop court pour montrer la vraie destination, et certaines adresses sont faites pour avoir l’air presque justes. Une page peut aussi rediriger après son ouverture, si bien que l’endroit où vous arrivez n’est pas celui que vous avez vu. Les codes imprimés en tout petit sont difficiles à lire avec attention sous une mauvaise lumière, et c’est justement là que se trouvent les codes des restaurants et des parkings.

La vérification ne fait rien non plus pour l’argent déjà parti. Un paiement par carte vous laisse plus de recours, parce que la banque a une procédure de contestation, mais même là le résultat dépend des faits et du moment. Quelqu’un qui promet de récupérer votre argent contre des frais monte une deuxième arnaque.

Et rien de tout cela ne dit quoi que ce soit de la personne qui a scanné. Ces codes sont placés exactement là où l’on est pressé, et imprimés pour ressembler au panneau qu’ils recouvrent. Si cela vous arrive, la faute revient à celui qui a posé le faux code.

Questions fréquentes sur l’arnaque au QR code