Actus : faites attention aux QR Codes malveillants

Une pratique que nous avions déjà évoquée il y a quelques années semble prendre de l'ampleur en France, ce sont des QR Code malveillants qui peuvent être collés un peu partout dans l'espace public par des personnes mal intentionnées. Leur but est de vous orienter vers de faux sites ou des logiciels malveillants pour récupérer vos informations bancaires.

Le gouvernement vient de publier ses conseils pour éviter de se faire arnaquer par un QR Code collé sur un parcmètre ou une table de restaurant. Mieux vaut tard que jamais comme on dit, puisque nous avions déjà fait ce travail en 2023, suite à l'alerte lancée par l'association de défense des consommateurs Que Choisir Ensemble.

Le gouvernement s'empare des QR Code malveillants

Nous évoquons aujourd'hui le Quishing, contraction de QR Code et phishing, une technique malveillante qui vise à récupérer vos informations bancaires et/ou personnelles. Car le gouvernement vient, à travers les services du ministère de l'économie, de publier un article pour nous alerter sur cette pratique qui semble se développer dans l'espace public.

Heureusement, l'association de défense des consommateurs Que Choisir Ensemble, et nous même dans cet article qui date du mois de novembre 2023, avions déjà alerté sur cette pratique et donné aux consommateurs quelques conseils pour éviter de se faire arnaquer par un QR Code malveillant.

Nous terminions notre article avec ces mots : « Malheureusement les services publics n'ont pas encore écrit de notes ou de guides pour nous aider à s'en protéger. Espérons qu'ils aient été alertés et qu'ils se saisissent rapidement du sujet, car le risque est grand de voir rapidement pulluler les QR Codes malveillants un peu partout. ».

Nous avons la réponse, il aura fallu tout de même près de 3 ans pour que l'état à son tour édicte quelques conseils pour informer les français sur ce risque grandissant. Ce qui est drôle, enfin pourrait l'être si ce n'était pas si inquiétant sur l'inertie de l'état, et au combien révélateur de son incompétence quand il s'agit de nous protéger.

Saluons néanmoins leur article assez complet et qui donne de bons conseils, les mêmes déjà exposés par l'association de défense des consommateurs il y a trois ans. Alors maintenant que nous avons pointé du doigt l'exaspérante lenteur des autorités françaises, rappelons ce qu'est le quishing et comment éviter de se faire arnaquer.

Quishing : un vrai danger dans l'espace public

Même si je dois avouer que je n'ai encore jamais constaté de faux QR Code apposés sur un parcmètre, une borne de recharge ou même la table d'un restaurant, ce sont sans doute les plus dangereux. Car il suffit à la personne mal intentionnée de les imprimer sur des étiquettes autocollantes et de venir les superposer sur le vrai QR Code.

J'en croise par contre régulièrement dans les villes collés un peu partout, sur des panneaux d'affichage ou des feux de circulation. Je ne pense pas que la plupart soient malveillants, mais plutôt du fait de petits malins qui tentent de faire la publicité de leur site ou de leur activité commerçante, dans le doute mieux vaut toujours s'abstenir de les scanner.

De faux QR Code peuvent aussi être utilisés sur des sites de petites annonces par des escrocs, ça avait notamment été documenté sur le site Le Bon Coin, là encore il y a quelques années déjà. Le ministère évoque également des QR Code malveillants envoyés par mail et par SMS (mais il n'est pas évident de scanner un QR Code sur l'écran d'un smartphone avec l'appareil photo situé au dos).

Alors à priori et si votre boite mail est bien configurée, la plupart de ces messages devraient arriver dans le fichier SPAM. Comme pour les autres méthodes de piratage, il est fortement conseillé de ne jamais scanner un QR Code douteux ni cliquer sur un lien qui cache l'url du site vers lequel il renvoie.

Mieux vaut toujours préférer se rendre sur le site en question directement, soit via votre onglet de favoris, l'application officielle sur smartphone ou une recherche sur un moteur de recherche, afin de s'assurer d'arriver sur le site officiel. Si le QR Code émane réellement de cette entité, vous le retrouverez sur leur site, et si ce n'est pas le cas pourrez la contacter pour vérifier sa véracité.

Pour ce qui est des QR Code collés dans l'espace public, une vitrine ou tout autre endroit, ne les scannez jamais tout simplement. Pour les bornes type parcmètre ou borne de recharge, il faut définir si il est collé sur l'appareil, si avec votre ongle vous sentez qu'il a été rajouté par dessus, essayez de le décoller pour voir si il n'y a pas un vrai QR Code dessous, imprimé directement sur le carénage de l'appareil.

Si on vous envoie un QR Code de paiement sur un site de petites annonces ou autre, méfiance aussi car la plupart des plateformes n'autorisent pas les paiements hors de leur système (sinon ils ne touchent pas leur commission). Bref, avec un peu de bon sens et en étant vigilants, vous devriez pouvoir éviter ce type d'arnaques au QR Code.

Plus d'actualités pour s'informer au quotidien