Quishing : comment les escrocs détournent les QR codes — et à quoi se reconnaît un code sûr

Le stationnement est payé, croit-on — en réalité, les données de la carte bancaire viennent d'atterrir sur le serveur d'escrocs. Ce qui rend cela possible : un autocollant, un faux QR code collé par-dessus le vrai code de l'horodateur. « Quishing » est le nom de cette arnaque, mot-valise formé de QR et de phishing. Associations de consommateurs et services de police mettent en garde depuis un certain temps contre de tels cas aux horodateurs, aux bornes de recharge et dans de fausses lettres de banques. Il n'y a pas là de quoi paniquer — mais bien une raison de revoir ses propres habitudes de scan.

Pourquoi les QR codes précisément ? Parce qu'ils sont la cachette parfaite. Un lien dans un courriel peut être lu avant qu'on ne clique dessus ; un QR code n'est, pour l'œil humain, qu'un motif dépourvu de sens. On n'apprend où il mène qu'après l'avoir scanné. S'y ajoute le contexte : un code apposé sur un automate officiel hérite de la crédibilité de celui-ci — presque personne n'imagine que la mairie ait été recouverte d'un autocollant. Et l'effort demandé aux malfaiteurs est minime : une planche d'étiquettes autocollantes et n'importe quel générateur de codes suffisent. La technique elle-même est aussi neutre que le papier et l'encre d'imprimerie — n'importe qui peut, avec n'importe quel outil, produire un code menant à n'importe quelle adresse.

Les arnaques connues se ressemblent. Aux horodateurs et aux bornes de recharge, des codes recouverts mènent à des pages de paiement d'un réalisme trompeur qui réclament les données de carte bancaire. Dans de fausses lettres censées émaner de banques, le QR code remplace le lien de phishing classique — le papier inspire confiance et contourne tout filtre antispam. De faux avis de contravention invitant à payer commodément par code sont également documentés, tout comme des autocollants sur les avis de passage de colis. Le but est toujours le même : des données de paiement ou des identifiants, récoltés sur un site web reconstitué.

Aussi différents que soient les décors, la dramaturgie se ressemble. Presque toujours, l'arnaque joue sur l'urgence : le compte serait bloqué, le véhicule enlevé, les frais de rappel dus, si l'on n'agit pas dans les minutes qui suivent. S'y ajoute souvent un chemin inhabituel pour une démarche banale — la banque qui invite soudain, par courrier, à scanner ; l'administration qui traite des paiements via un site inconnu. Ce sont là deux signaux classiques de l'ingénierie sociale, et tous deux fonctionnent indépendamment de la technique : le QR code n'est que le support. Qui prend l'habitude de ralentir précisément lorsqu'il ressent une pression temporelle prive l'arnaque de son levier le plus important — aucun prestataire sérieux ne sanctionne un paiement effectué cinq minutes plus tard par la voie officielle.

La protection la plus importante est intégrée depuis longtemps, mais rarement utilisée en conscience : l'aperçu du lien. Les téléphones modernes affichent d'abord l'adresse cible après le scan, avant d'ouvrir une page. Cette seconde est décisive. La lecture mérite de la précision — et se fait par la fin : ce qui compte, c'est le domaine proprement dit, immédiatement avant l'extension, non le début de l'adresse. « votrebanque.service-paiement.example » n'appartient pas à la banque, mais à l'exploitant de « service-paiement.example ». Les inversions de lettres, les tirets supplémentaires et les extensions inhabituelles sont autant de signaux d'alerte.

Deux subtilités rendent cette lecture plus difficile qu'il n'y paraît. Premièrement, certaines applications d'appareil photo abrègent les adresses longues dans l'aperçu — n'est alors visible que le début, d'apparence anodine, et non le domaine décisif. Qui a un doute se fait afficher l'adresse complète avant de l'ouvrir. Deuxièmement, il existe des domaines composés de caractères issus d'autres alphabets, à s'y méprendre semblables aux lettres latines ; beaucoup de navigateurs affichent ces adresses, par précaution, dans une notation technique précédée du préfixe « xn-- ». Qui voit une telle chaîne de caractères dans l'aperçu alors qu'il attendait une marque familière a toutes les raisons d'être prudent. Les services de raccourcissement de liens, enfin, masquent complètement la cible réelle — pour tout ce qui touche à l'argent ou aux identifiants, recopier soi-même l'adresse connue reste la voie la plus sûre.

Le deuxième regard va au code lui-même. Est-il collé sur l'automate, au lieu d'être imprimé ou protégé par un film ? Est-il de travers, chevauche-t-il d'autres inscriptions, se détache-t-il au toucher de la surface ? Une étiquette posée par-dessus l'original est le schéma le plus fréquent du quishing dans l'espace public. Dans le doute, la règle est : emprunter la voie officielle — l'application de l'exploitant, le numéro de service imprimé ou le terminal lui-même.

Troisièmement : les opérations sensibles n'ont rien à faire après un scan dans l'espace public. Qui, après avoir scanné un code, doit saisir des données de paiement, des mots de passe ou un code de validation fait mieux d'interrompre et de taper lui-même l'adresse connue, ou d'utiliser l'application officielle. Pour les courriers porteurs d'un QR code, un appel à la banque aide — via le numéro figurant sur la carte bancaire, non via celui de la lettre. Les établissements sérieux acceptent ce détour sans broncher ; qui insiste sur l'urgence se rend suspect.

Une idée reçue très répandue mérite un avertissement à part : le cadenas dans le navigateur n'est pas un label de qualité. Il indique seulement que la connexion est chiffrée — non avec qui l'on communique de façon chiffrée. Les pages de phishing utilisent aujourd'hui presque systématiquement HTTPS. La question n'est donc jamais de savoir si une page affiche un cadenas, mais à qui appartient le domaine.

L'outil que l'on a en main fait lui aussi une différence. Les applications d'appareil photo des téléphones modernes affichent l'adresse cible et attendent une confirmation consciente — c'est précisément ce temps d'arrêt qui constitue le mécanisme de protection. Les applications de scan tierces, en revanche, ouvrent parfois les liens automatiquement, affichent de la publicité ou réclament des autorisations sans rapport avec le scan. Qui utilise une telle application vérifiera de préférence si l'ouverture automatique peut être désactivée — ou y renoncera tout à fait : au quotidien, l'appareil photo préinstallé suffit entièrement. Là où il fait défaut, sur les appareils plus anciens par exemple, une application de scan dotée d'un aperçu et sobre en autorisations est le bon choix.

La vérité commande cependant d'ajouter : toute redirection n'est pas suspecte. Beaucoup de codes légitimes, issus de la publicité et du commerce, passent d'abord par le domaine court d'un service de QR avant d'arriver à destination — c'est ainsi que fonctionnent les codes dynamiques, dont la cible reste modifiable après coup et dont les scans sont comptés pour la mesure de portée. Une étape intermédiaire par une adresse courte inconnue n'est donc pas en soi une preuve de fraude — pas plus que son absence n'est une preuve de sécurité.

Comment des prestataires peuvent traiter cette question de transparence, le service de QR codes QR2GO, allemand, le montre : il propose pour chaque code plusieurs modes de redirection — une redirection visible, où l'étape intermédiaire reste identifiable, une variante masquée avec comptage et un mode direct sans détour. Pour les consommatrices et consommateurs, la leçon reste malgré tout la même : ce qui est déterminant, ce n'est pas le chemin, mais la destination — quelle adresse figure finalement dans le navigateur et ce que la page y réclame.

Un générateur ne peut en effet pas empêcher les abus — aucun prestataire ne contrôle où un code, une fois créé, sera collé, et les escrocs peuvent employer n'importe quel outil. La protection ne réside donc pas dans la technique, mais dans l'habitude : lire l'adresse cible, vérifier le contexte, se méfier dès qu'il est question d'argent et de mots de passe. C'est la même vigilance qui s'est depuis longtemps imposée pour les liens dans les courriels — à ceci près qu'avec le QR code, elle ne peut commencer qu'après le scan.

Le sujet a une facette propre dans la vie professionnelle. Les autorités de sécurité et les défenseurs des consommateurs observent depuis quelque temps des courriels de phishing qui contiennent un QR code au lieu d'un lien — avec un effet secondaire calculé : le code est scanné depuis l'écran avec le téléphone privé, et l'attaque quitte ainsi l'ordinateur professionnel sécurisé, ses filtres et ses logiciels de protection. Le masque de connexion qui apparaît alors sur le téléphone ressemble souvent, jusque dans le détail, au portail de l'employeur. La contre-règle est simple et peut être ancrée dans l'équipe : les identifiants professionnels ne sont jamais saisis sur des pages atteintes via un code scanné — et les messages suspects doivent être signalés au service informatique, non jetés à la corbeille.

Important pour la juste mesure : le scan lui-même ne cause en règle générale encore aucun dommage. Cela devient dangereux seulement lorsque la page ouverte invite à des saisies, propose des téléchargements ou pousse à installer une application. Qui referme simplement une page suspecte sans rien avoir saisi n'a le plus souvent rien à craindre — un coup d'œil vérificateur sur les prochains relevés de compte ne nuit toutefois jamais.

Si quelque chose s'est tout de même produit, la rapidité compte. Si des données de carte ont été saisies, la carte doit être bloquée sans délai — en Allemagne, de façon centralisée via le numéro d'urgence d'opposition 116 116, ou directement auprès de la banque. Les mots de passe concernés doivent être changés immédiatement, y compris sur tous les autres services en cas de réutilisation. Un dépôt de plainte auprès de la police est utile même pour de petits montants, parce qu'il rend visibles les schémas d'enquête ; en Allemagne, les centrales de consommateurs collectent en outre les signalements de phishing. Les mouvements du compte devraient être surveillés attentivement dans les semaines qui suivent.

L'autre partie peut elle aussi agir. Les entreprises qui affichent des codes en public renforcent la confiance en imprimant à côté l'adresse cible en clair — qui le souhaite peut la recopier, et tous les autres peuvent au moins comparer l'aperçu avec elle. Une identité visuelle cohérente, avec couleurs et logo, aide également, mais ne constitue pas une preuve, car le graphisme se copie. Plus efficace est le contrôle régulier sur place — un code recouvert se remarque lors de la ronde hebdomadaire — ainsi qu'un emplacement qui rende au moins le recouvrement difficile.

Pour les exploitants d'automates et de bornes de recharge, cela peut se condenser en un déroulé fixe : tenir un inventaire indiquant quel code est apposé sur quel site et vers quoi il mène ; former le personnel de sorte qu'un autocollant étranger se remarque lors de la collecte ou de la maintenance ; et créer une voie de signalement simple pour les remarques de la clientèle. Si une manipulation est découverte, la règle est : recouvrir ou retirer immédiatement le faux code, photographier l'état auparavant, porter plainte — et indiquer bien visiblement sur l'automate que les paiements ne doivent s'effectuer que par les voies officielles. Qui informe en outre la clientèle par ses propres canaux limite les dégâts et regagne de la confiance.

Au bout du compte, le quishing n'est pas un danger nouveau, mais un ancien danger sous un habit neuf : le phishing suit l'attention, et l'attention est arrivée au QR code. La réponse reste inchangée — un bref regard vérificateur avant que les données ne circulent. Qui lit l'adresse cible d'un code scanné avec autant d'attention que l'expéditeur d'un courriel suspect a ôté à l'arnaque l'essentiel de son pouvoir de nuisance.