Comment repérer un faux QR code collé (et quoi faire)

Un faux QR code est un code que quelqu'un a collé par-dessus un code légitime, ou un code placé là où aucun code officiel ne devrait se trouver, de sorte que votre scan vous envoie vers un site contrôlé par l'attaquant. Vous pouvez repérer la plupart d'entre eux en examinant la surface physique pour détecter des signes de falsification, en ne scannant que les codes que vous vous attendez à trouver à cet endroit, et en lisant l'adresse web que votre téléphone affiche avant de toucher quoi que ce soit. Si vous avez déjà scanné et saisi des informations, agissez vite : changez le mot de passe du compte concerné, contactez votre banque si vous avez payé ou communiqué des données bancaires, et surveillez les tentatives de phishing ultérieures.

Pourquoi les faux QR codes fonctionnent

Les QR codes sont silencieux. Un autocollant bien imprimé ressemble exactement au type de code qu'un commerce utiliserait légitimement, et la plupart des gens ont été habitués, après des années de menus, d'applications de stationnement et d'affiches de paiement, à scanner sans réfléchir. Le téléphone fait le travail, donc l'œil cesse de faire le sien.

L'attaque elle-même est simple. Quelqu'un imprime un code qui pointe vers un site imitant un site officiel, passe devant un horodateur ou une table de restaurant, et colle son code par-dessus le vrai. Quand vous scannez, vous arrivez sur une page qui imite le site ou l'application de paiement officiel et qui demande des coordonnées bancaires ou un identifiant. Comme c'est vous qui avez lancé le scan, la demande vous semble fiable d'une manière qu'un SMS aléatoire ne l'est jamais.

Les spécialistes de la sécurité appellent cela le « quishing », mais le nom importe moins que la mécanique : un QR code n'est qu'un lien, et un lien peut pointer n'importe où. Votre défense consiste à traiter chaque scan comme vous traiteriez un lien dans un e-mail inattendu.

Où les faux codes apparaissent le plus souvent

Partout où un code vous invite à payer, à vous connecter ou à télécharger quelque chose est une cible possible. Les plus fréquents :

• Les horodateurs et les panneaux de stationnement payant, où un faux code peut mener vers une page de paiement qui capture vos coordonnées bancaires.
• Les autocollants sur les bornes de recharge publiques, les stations de vélos en libre-service et les bornes de recharge électrique.
• Les affiches et flyers pour des événements, des associations ou des livraisons, surtout ceux qui demandent un acompte ou des « frais de livraison ».
• Les codes sur les tables de restaurant, pour le menu et le paiement.
• Les colis et les avis de livraison, où un faux code « suivez votre colis » peut mener vers une page de phishing demandant des frais de nouvelle livraison ou des données personnelles.
• Les abords des distributeurs automatiques, les bornes à billets et tout terminal public doté d'une surface lisse et plate où un autocollant peut se poser sans se voir.

Le dénominateur commun : l'argent ou les identifiants. Un code qui mène vers une page de connexion Wi-Fi est une cible bien moins intéressante qu'un code qui mène vers un formulaire de paiement. Concentrez donc votre méfiance là où le code vous demande de payer ou de vous connecter.

Les signes physiques de falsification

Avant de scanner, prenez trois secondes pour examiner le code lui-même. Vous cherchez la preuve qu'il n'appartient pas à la surface sur laquelle il se trouve.

• Les bords et les coins. Un autocollant posé sur un code imprimé présente généralement un bord surélevé, un coin qui se décolle légèrement, ou un contour discret là où il a été pressé. Passez un ongle le long du bord si la surface le permet.
• Une qualité d'impression différente. Les codes officiels sur un horodateur ou une borne de paiement sont en général imprimés ou gravés avec le support lui-même. Un autocollant imprimé à la maison a souvent des couleurs légèrement différentes, un rendu plus brillant, ou une pixelisation visible autour des modules.
• L'alignement. Si le code est de travers, décentré, ou qu'il chevauche du texte auquel il devrait se limiter, considérez-le comme suspect.
• La superposition. Deux codes très rapprochés, ou un autocollant qui recouvre un cadre ou un logo faisant partie du design d'origine, sont un signe fort de dissimulation.
• Une usure incohérente. Un code flambant neuf sur une surface délavée par les intempéries n'a pas été posé en même temps que la surface.
• Des résidus de colle. Des traces, des bulles ou les fantômes d'anciens autocollants autour du code suggèrent que l'endroit a déjà été altéré.

Aucun de ces contrôles n'est infaillible à lui seul. Un attaquant soigneux peut imprimer un autocollant propre et bien aligné. Le point important : la plupart des falsifications sont faites vite et à moindre coût, et elles se voient généralement.

Vérifier le lien avant de l'ouvrir

L'habitude la plus utile en matière de sécurité des QR codes est celle-ci : votre téléphone vous montre où mène un code avant que vous ne vous engagiez. Utilisez-la.

Sur la plupart des téléphones récents, scanner un QR code avec l'application appareil photo intégrée produit une notification ou une bannière affichant l'adresse web. Ne la touchez pas immédiatement. Lisez-la d'abord.

Ce qu'il faut regarder dans l'adresse :

• Le domaine. C'est la partie juste avant la première barre oblique, et c'est la seule qui compte vraiment. Dans https://pay.parking-exemple.fr/checkout, le domaine est parking-exemple.fr. Tout ce qui précède le premier point (pay.) et tout ce qui suit la première barre oblique (/checkout) est décoratif, et n'importe qui peut le choisir librement.
• Les fautes d'orthographe et les imitations. Les attaquants misent sur de petites différences : paiement-site.com au lieu de paiements-site.com, des lettres en trop, des lettres inversées, ou des tirets là où il n'en faudrait aucun. Si de l'argent est en jeu, lisez le domaine lettre par lettre.
• Les raccourcisseurs inconnus. Les adresses issues de raccourcisseurs de liens (généralement des domaines très courts suivis d'un code en apparence aléatoire) masquent totalement leur destination. Impossible de savoir où ils mènent sans les résoudre ; traitez donc les liens raccourcis figurant sur des autocollants physiques avec une méfiance accrue. Certains services de raccourcissement affichent une page d'aperçu ; si le vôtre ne le fait pas, ne suivez pas le lien lorsque de l'argent ou des identifiants sont en jeu.
• Le cadenas n'est pas une garantie. L'icône de cadenas ou le « https » signifie que la connexion est chiffrée, pas que le site est honnête. Les faux sites de phishing utilisent eux aussi https. Ne considérez jamais le cadenas comme une preuve de légitimité.
• La pression immédiate. Si la page ouverte par le code exige que vous vous connectiez, que vous payiez ou que vous saisissiez vos coordonnées bancaires tout de suite, cette urgence est en soi un signal d'alerte. Les pages légitimes de stationnement et de paiement vous laissent généralement vérifier ce que vous payez avant.

En cas de doute, tapez vous-même l'adresse web connue de l'organisation dans votre navigateur au lieu d'utiliser le code. Trente secondes de frappe valent mieux qu'une carte bancaire compromise.

Les signaux d'alerte après le scan

Certaines attaques ne deviennent visibles qu'une fois le code ouvert. Arrêtez tout et faites marche arrière si l'un des cas suivants se produit :

• La page demande vos coordonnées bancaires pour payer quelque chose que vous n'avez pas sélectionné, ou demande un paiement avant de vous montrer ce que vous payez.
• Une page de connexion apparaît là où vous attendiez un menu, un horaire ou une grille tarifaire.
• Le site vous demande d'installer une application ou un profil de configuration en dehors de la boutique d'applications officielle de votre téléphone.
• La page réclame des informations qu'aucun processus légitime ne demande à ce moment-là : le code complet de votre carte, le mot de passe de votre banque en ligne, ou les codes à usage unique de votre application bancaire.
• L'adresse change plusieurs fois de suite, sautant de redirection en redirection avant d'arriver quelque part d'inattendu.
• La page ressemble à un service connu, mais le domaine dans la barre d'adresse ne correspond pas au vrai nom de ce service.

Faire marche arrière ne vous coûte rien. Saisir des informations sur une fausse page peut vous coûter très cher.

Que faire si vous avez déjà scanné et saisi des informations

Si vous réalisez après coup que vous avez utilisé une fausse page, la rapidité compte plus que la gêne. Suivez ces étapes dans l'ordre :

1. Si vous avez saisi des coordonnées bancaires, contactez immédiatement votre banque. Demandez-lui de bloquer ou de remplacer la carte et signalez l'opération. La plupart des banques disposent d'une ligne anti-fraude joignable en permanence ; le numéro figure au dos de votre carte ou sur leur site officiel, jamais sur une page atteinte via le QR code.
2. Si vous avez saisi un mot de passe, changez-le maintenant, sur le service concerné et partout où vous avez réutilisé le même mot de passe. Si vous n'utilisez pas de gestionnaire de mots de passe, c'est le bon moment pour commencer.
3. Si vous avez validé un paiement ou une demande de connexion, révoquez-le. Consultez la page de sécurité ou de sessions du compte pour repérer les appareils inconnus et déconnectez-les.
4. Si vous avez installé une application ou un profil, supprimez-le, puis lancez l'analyse de sécurité intégrée de votre téléphone si elle existe. Sur iPhone, vérifiez dans Réglages les profils de configuration que vous ne reconnaissez pas ; sur Android, désinstallez toute application que vous ne pouvez pas expliquer.
5. Surveillez les attaques de suivi. Les attaquants qui récupèrent votre numéro de téléphone ou votre adresse e-mail enchaînent souvent avec des SMS et des appels convaincants. Traitez tout message concernant l'incident avec méfiance et contactez les organisations par leurs canaux officiels.
6. Signalez-le. Prévenez le commerce dont le code a été recouvert, et signalez l'incident à la police ou au service national de signalement de la cybercriminalité. Cela les aide à prévenir les autres clients et, parfois, à faire retirer l'autocollant.

Conservez une trace de ce qui s'est passé, y compris l'adresse vers laquelle vous avez été redirigé et toute référence de paiement. Vous pourriez en avoir besoin pour votre banque ou la police.

Comment les entreprises peuvent protéger leurs propres codes

Si vous dirigez une entreprise qui utilise des QR codes, vous défendez à la fois vos clients et votre réputation. Mesures pratiques, à peu près par ordre d'impact :

• Imprimez l'adresse de destination à côté du code. Une adresse web courte et lisible sous le code permet aux clients de vérifier où il mène et leur offre une solution de repli s'ils se méfient de l'autocollant. C'est la protection la moins chère et la plus efficace qui existe.
• Utilisez des étiquettes inviolables. Les étiquettes de sécurité qui se déchirent, laissent un motif ou affichent « VOID » quand on les décolle rendent les autocollants de dissimulation évidents et rendent la falsification visiblement risquée.
• Fixez les codes pour qu'ils ne puissent pas être recouverts. Les plaques gravées, les panneaux en creux ou les codes imprimés directement sur le support sont bien plus difficiles à remplacer qu'un autocollant papier sur une surface plate.
• Vérifiez vos codes régulièrement. Ajoutez un contrôle visuel rapide aux routines existantes : le personnel d'un restaurant vérifie les codes des tables chaque matin, les rondes d'un exploitant de stationnement incluent les horodateurs, une boutique vérifie ses affiches en vitrine. Vous cherchez des autocollants par-dessus vos codes, des résidus, ou des codes différents de ceux que vous avez déployés.
• Utilisez un domaine que vous contrôlez et gardez-le court. Une adresse courte et mémorable est plus facile à vérifier d'un coup d'œil qu'une longue adresse pleine de paramètres.
• Évitez les liens raccourcis opaques en public. Si vous devez utiliser un raccourcisseur, choisissez-en un qui affiche une page d'aperçu afin que les personnes qui scannent puissent voir la destination.
• Dites à vos clients à quoi ressemblent vos codes légitimes. Une petite mention du type « notre page de paiement se trouve à [adresse] ; nous ne vous demanderons jamais votre code confidentiel » installe l'idée que la vérification est normale.
• Réagissez vite en cas de falsification détectée. Retirez le faux, nettoyez la surface, remplacez par une version inviolable et alertez vos clients par vos canaux habituels.

Construire le réflexe

La sécurité des QR codes n'est pas une affaire de paranoïa ; c'est une habitude appliquée avec constance : vérifier avant d'agir. Examinez le code physique pour repérer les signes qu'il n'a pas été posé par le commerce. Lisez l'adresse que votre téléphone affiche avant de toucher l'écran. Refusez les pages qui exigent des connexions, des paiements ou des installations d'applications sous la pression. Tapez vous-même les adresses connues quand de l'argent est en jeu. Et si vous dirigez une entreprise, rendez vos codes physiquement difficiles à imiter et donnez à vos clients un moyen de les vérifier.

La technologie n'est pas le problème. Un QR code est un lien, et les liens sont sûrs quand on lit où ils mènent. Le risque vient du scan en pilote automatique. Cassez le pilote automatique, et la plupart de ces attaques échouent dès la première étape.

Conclusion

Les faux QR codes réussissent parce qu'ils ont l'air ordinaires et parce que scanner semble être l'option sûre et familière. Votre défense prend quelques secondes : inspectez l'autocollant à la recherche de bords décollés et d'impressions différentes, lisez l'adresse web avant de l'ouvrir, et ne saisissez jamais de coordonnées bancaires ni de mots de passe sur une page atteinte via un code que vous n'avez pas vérifié. Si vous avez déjà été piégé, contactez votre banque et changez vos mots de passe immédiatement. Les entreprises devraient imprimer l'adresse de destination à côté de chaque code public, utiliser des étiquettes inviolables et vérifier leurs codes régulièrement. Le point essentiel : traitez chaque QR code comme un lien envoyé par un inconnu, jusqu'à ce que vous ayez lu où il mène réellement.