Code QR malveillant : Le scan qui ouvre votre portefeuille

Le monde moderne ressemble parfois à un puzzle composé de petits carrés noirs et blancs. Ils sont partout : sur les menus des restaurants, sur les lampadaires, sur les colis reçus par courrier, et même sur des pierres tombales dans les cimetières. Le code QR (Quick Response Code), initialement inventé pour l'industrie automobile japonaise, a connu une renaissance fulgurante pendant la pandémie de COVID-19. Il est devenu le pont principal entre le monde physique et l'espace numérique. Mais derrière cette commodité, au cœur du « clic » rapide et du scan instinctif, se cache l'une des menaces les plus sophistiquées et en plein essor dans le monde de la cyberfraude : le « Quishing » (Hameçonnage par QR).

Dans les chapitres précédents, nous avons abordé les messages texte et les courriels frauduleux. Dans ces cas-là, le piège est généralement visible pour qui sait le repérer – une adresse d'expéditeur étrange ou une langue approximative. Avec le code QR, le problème est que l'œil humain est incapable de décoder le contenu. Pour nous, il ne s'agit que d'un motif graphique aléatoire. Nous accordons une confiance aveugle à notre téléphone pour identifier la destination pour nous, et souvent, cette destination peut être le prélude à une perte financière.

Le scénario suivant est un exemple pédagogique basé sur des modes opératoires de fraude courants. Les personnages et les événements sont fictifs et destinés à illustrer le sujet.

Ronen, ingénieur logiciel, est considéré par sa famille comme un expert technologique. C'est lui qui configure les routeurs, installe l'antivirus pour ses parents et avertit tout le monde de ne pas cliquer sur des liens suspects par SMS. Mais un après-midi, les remparts de Ronen ont été mis à l'épreuve.

Il était pressé pour une réunion importante dans un quartier fréquenté. Après une recherche épuisante, il a finalement trouvé une place de stationnement disponible. Sur le parcmètre était collée une étiquette avec le logo d'une autorité locale et un design semblant officiel. « Stationné ? Scannez et payez en un clic – sans besoin d'application », était-il écrit, accompagné d'un code QR bien visible.

« Parfait, » pensa Ronen, « cela me fait gagner du temps. » Il sortit son téléphone, scana le code, et en quelques secondes, un site s'ouvrit dans son navigateur, ressemblant à un portail de paiement officiel. Les couleurs étaient cohérentes et le logo à sa place. Il fut invité à saisir son numéro de véhicule et la durée de stationnement souhaitée. Il a entré les détails de sa carte de crédit, cliqué sur « Confirmer le paiement », et a reçu un message à l'écran : « Paiement effectué avec succès. Bon stationnement ».

Ronen s'est rendu à sa réunion l'esprit tranquille. Il ne savait pas que dans ce scénario, les détails de sa carte de crédit avaient été transmis à un serveur distant. Il ne savait pas non plus que l'étiquette qu'il avait scannée avait été apposée sur le parcmètre par un individu malveillant ayant recouvert le code original.

Le réveil a eu lieu dans la soirée. Ronen a remarqué des notifications de son émetteur de carte de crédit concernant des transactions pour des montants importants effectuées sur des sites étrangers qu'il n'avait jamais consultés. Il s'est connecté à son application bancaire et a vu une liste de débits en attente. Il s'est alors souvenu du parcmètre et de ce scan qui semblait si innocent et pratique.

Lorsqu'il a contacté le service client de l'émetteur de carte, l'agente lui a demandé : « Avez-vous transmis les détails de votre carte sur un site quelconque récemment ? » « Seulement pour le stationnement », a répondu Ronen. « Nous connaissons de nombreux cas similaires récemment », a répondu l'agente. « Il est possible que vous ayez scanné un code frauduleux ».

Anatomie de la fraude par QR : Pourquoi cela fonctionne-t-il ?

Pour comprendre pourquoi le code QR est devenu un outil efficace pour les fraudeurs, nous devons comprendre la psychologie derrière le scan. Contrairement à un lien textuel (URL) où nous pouvons examiner les caractères, le code QR est une « boîte noire ». L'utilisateur moyen ne sait pas où il est dirigé tant que l'action n'a pas déjà été exécutée.

Ces fraudes exploitent généralement plusieurs facteurs clés :

1. La confiance dans le lieu physique

Il existe une tendance à faire confiance aux objets physiques. Si une personne voit un code QR imprimé sur une affiche dans un établissement connu, sur une table de restaurant ou sur une machine de paiement officielle, elle suppose que le code appartient au propriétaire des lieux. La pensée est : « Si l'autocollant est là, c'est que c'est sûr ». Des acteurs malveillants peuvent se rendre dans des lieux publics et coller un code frauduleux par-dessus le code légitime.

2. Le contournement des mécanismes de défense numériques

Les systèmes de sécurité des boîtes de réception e-mail savent scanner les liens et identifier les sites de phishing connus. Cependant, un code QR est une image. Certains logiciels de sécurité peuvent avoir du mal à « lire » l'image et à analyser le lien caché à l'intérieur avec la même efficacité qu'ils scannent du texte, ce qui permet au message de franchir les filtres de sécurité.

3. Le sentiment d'urgence et de commodité

Les codes QR sont souvent placés là où les gens sont pressés : paiement de stationnement, scan de menu ou inscription rapide. En cas de précipitation, l'esprit critique diminue et l'utilisateur peut scanner sans examiner en profondeur la page de destination qui s'ouvre.

Types de fraudes QR courantes : Guide de détection des pièges

Les fraudes par QR ne se limitent pas aux étiquettes dans la rue. Au fil des ans, au cours de notre travail professionnel, diverses méthodes ont été observées :

L'arnaque du « Colis en attente » version QR

Dans ce scénario, une personne reçoit une lettre physique dans sa boîte aux lettres semblant provenir d'une société de livraison reconnue. La lettre indique qu'une tentative de livraison a eu lieu et que pour coordonner un nouveau créneau ou payer des frais de traitement symboliques, il faut scanner le code. La lettre physique inspire confiance, et le scan mène vers une page de paiement frauduleuse.

Fraudes aux bornes de recharge pour véhicules électriques

De nombreuses bornes de recharge fonctionnent via le scan d'un code QR. Des individus malveillants peuvent coller des codes contrefaits sur les bornes, menant à un site où le conducteur est invité à saisir ses données de carte de crédit. Dans ce cas, le conducteur peut perdre ses données de carte sans que la borne ne soit réellement activée.

« Réduction spéciale » dans les restaurants et cafés

Sur les tables des restaurants peut apparaître un code promettant une réduction importante en échange de l'inscription à un club de fidélité. Le scan peut mener vers une page demandant des informations personnelles ou le téléchargement d'une application pouvant contenir des composants malveillants aspirant des données du terminal mobile.

Aspects juridiques : Examen de la responsabilité en cas de fraude

Lorsqu'une personne découvre que son compte a été débité suite au scan d'un code QR frauduleux, la question juridique concernant les possibilités de remboursement se pose. En Israël, le sujet est réglementé par la Loi sur les services de paiement, 2019.

La loi accorde une protection au consommateur en cas d'« utilisation abusive » d'un moyen de paiement. En règle générale, si des transactions non autorisées ont été effectuées, la responsabilité du client est limitée aux montants prévus par la loi, et il est possible d'examiner la demande de remboursement du solde du préjudice auprès de l'établissement financier. Le débat juridique se concentre souvent sur la question de savoir si le client a agi avec une intention frauduleuse ou par négligence grave.

La question de la « négligence grave » lors du scan d'un QR

L'argument peut être avancé que le scan d'un code collé dans la rue et la saisie de données constituent une négligence grave. À l'inverse, dans une analyse juridique de ces cas, on peut faire valoir que lorsque l'usurpation est sophistiquée et que le code est placé dans un lieu public lui conférant une présomption de conformité, cela ne doit pas être considéré comme une négligence grave annulant la protection de la loi.

Dans de nombreux cas, l'approche juridique tend à protéger le consommateur, car la « négligence grave » est un seuil élevé que l'organisme de paiement doit prouver. Dans des circonstances où une personne a été victime d'un acte de fraude sophistiqué, on peut examiner les chances de remboursement des fonds en fonction des circonstances de l'affaire.

Responsabilité du propriétaire des lieux ou de l'autorité locale

Une autre question juridique est la responsabilité de l'entité sur le terrain de laquelle, ou sur les installations de laquelle, le code a été apposé. On peut examiner si une entité exploitant des installations dans l'espace public et n'agissant pas pour supprimer les autocollants malveillants sur une longue période a manqué à son devoir de diligence. Il s'agit de questions juridiques pouvant être analysées conformément au droit civil général (droit de la responsabilité civile).

Tactiques de défense : Hygiène du scan

Il est possible de continuer à utiliser les codes QR en prenant des précautions :

1. Vérification physique

Avant de scanner un code dans un lieu public, il est recommandé de s'assurer qu'il ne s'agit pas d'un autocollant collé par-dessus un autre code. Si le code semble ne pas faire partie intégrante de l'enseigne ou de l'appareil, il convient d'éviter de le scanner.

2. Examen de l'adresse du site (URL)

La plupart des appareils affichent un aperçu de l'adresse du site avant son ouverture. Il faut examiner l'adresse et s'assurer qu'elle correspond à l'entité officielle attendue et qu'il ne s'agit pas d'une adresse raccourcie ou suspecte.

3. Téléchargement d'applications depuis des sources officielles uniquement

Il est recommandé d'éviter de télécharger des applications directement via un code QR. Il est préférable de rechercher l'application manuellement dans les magasins officiels, qui effectuent des contrôles de sécurité sur le contenu qui y est soumis.

4. Utilisation de l'authentification à deux facteurs (2FA)

L'activation de l'authentification à deux facteurs constitue une couche de protection supplémentaire. Le code de vérification envoyé sur le mobile est la dernière barrière, et il ne doit pas être saisi sur un site ouvert via QR à moins que l'utilisateur n'ait initié l'action sur un site connu et sécurisé.

Aspect juridique : Synthèse de la gestion avec les établissements financiers

Au cours des années de travail professionnel, de nombreux cas de victimes éprouvant un sentiment de malaise surviennent. Il est important de comprendre qu'il s'agit d'une activité menée par des réseaux criminels sophistiqués.

Sur le plan juridique, il faut prêter attention aux points suivants :

• Obligation de signalement : Dès la découverte de la fraude, il faut informer sans délai l'émetteur de la carte de crédit ou la banque. Un signalement précoce peut réduire la responsabilité du client.
• Examen du droit au remboursement : Conformément à la loi, dans les cas d'utilisation abusive, un cadre permet d'exiger le remboursement des montants des transactions, sous réserve de l'examen des circonstances de l'incident par l'organisme payeur.
• Charge de la preuve : La charge de prouver une « négligence grave » incombe généralement à l'établissement financier. Le simple fait d'avoir effectué le scan ne suffit pas à établir cet argument.

Signes d'alerte (Red Flags)

• Le code semble être un autocollant collé sur une affiche existante, une borne de stationnement ou un menu.
• Le scan mène à une page demandant de saisir de toute urgence des données de carte de crédit ou des informations personnelles sensibles.
• L'adresse du site ne correspond pas au site officiel de l'entité concernée.
• Le code a été reçu dans le cadre d'une sollicitation physique inattendue dans la boîte aux lettres.
• Le scan provoque une demande de l'appareil pour des autorisations d'accès inhabituelles aux contacts ou aux messages.

Que faire immédiatement (mesures d'urgence)

1. Blocage des moyens de paiement : Appel immédiat à l'émetteur de la carte ou à la banque pour annuler ou geler la carte dont les détails ont été exposés.
2. Documentation : Photographie du code physique et de son emplacement, ainsi qu'une capture d'écran de l'adresse du site ouvert.
3. Modification des mots de passe : Si des données d'identification ont été saisies, les mots de passe des comptes concernés doivent être modifiés immédiatement.
4. Signalement aux autorités : Dépôt d'une plainte auprès de la police. Cette action est essentielle pour faire valoir ses droits auprès des organismes de paiement.
5. Contrôle de sécurité du terminal : Si un fichier a été téléchargé, il est recommandé d'effectuer un contrôle anti-malware professionnel sur l'appareil mobile.

Aspect juridique – Synthèse

La Loi sur les services de paiement, 2019, constitue le fondement de la protection du consommateur dans ces cas. Dans les situations de fraude par QR, il est possible d'examiner la limitation de la responsabilité du client. Puisque les établissements financiers peuvent parfois examiner la responsabilité de manière restrictive, il est recommandé, en cas de préjudice important, d'étudier les options juridiques à la disposition du consommateur. La technologie change certes, mais les principes de protection du consommateur sont conçus pour fournir une réponse aux situations où une personne est victime d'actes de fraude sophistiqués.