Le quishing, contraction de QR code et phishing, désigne une escroquerie qui utilise les codes QR pour piéger les utilisateurs. Cette méthode frauduleuse s’invite de plus en plus souvent dans le quotidien des automobilistes. Très simple à mettre en place, elle est favorisée par la banalisation des paiements sur smartphone, que ce soit pour régler son stationnement ou démarrer une recharge électrique par exemple.
Sites contrefaits imitant les services officiels, QR codes collés à la va-vite sur des bornes ou sur des horodateurs ou imprimés sur de faux avis de contravention glissés sous un essuie-glace : ces escroqueries ciblant les automobilistes progressent, en France comme à l’étranger.
Le quishing : une arnaque qui se glisse dans un QR code
Le quishing est une technique de phishing qui utilise un QR code pour rediriger la victime vers un site frauduleux. Le terme est formé à partir des mots « QR code » et « phishing », qui veut dire hameçonnage.
Lorsque vous scannez ces QR codes, vous êtes redirigé vers un faux site, qui imite celui d’un organisme officiel. L’arnaqueur s’en sert pour :
- Récupérer vos coordonnées bancaires (numéro de carte notamment) en vue de les utiliser ultérieurement ;
- Détourner les sommes que vous destiniez au paiement de votre stationnement, amende ou recharge ;
- Vous inciter à télécharger un logiciel malveillant sur votre smartphone afin de récupérer vos données.
Le quishing repose sur la confiance accordée aux QR codes et sur le sentiment d’urgence. L’automobiliste qui pense devoir payer rapidement une recharge, une amende ou un stationnement peut être moins attentif au site sur lequel il vient d’arriver. De plus, les sommes réclamées étant souvent modiques, les conducteurs sont moins enclins à se méfier et à effectuer les vérifications nécessaires que dans d'autres circonstances.
Bornes, horodateurs, SMS : les différents lieux de quishing qui ciblent les automobilistes
Les escrocs adaptent leurs méthodes aux habitudes des automobilistes. Les faux QR codes peuvent ainsi apparaître sur une borne de recharge, un horodateur, un document ou encore dans un SMS.
Les QR codes collés dans l’espace public
C’est l’une des techniques de quishing les plus simples : le fraudeur recouvre le QR code officiel avec un autocollant contenant son propre code.
Cette méthode est utilisée sur des bornes de recharge pour voitures électriques ou des horodateurs. En scannant le code, l’automobiliste arrive sur une page qui ressemble à celle de l’opérateur concerné. Mais la charge ne démarre pas ou le stationnement n’est pas enregistré, même si le paiement a été validé.
De fausses amendes avec QR code déposées sur le pare-brise
Vous avez trouvé un forfait post-stationnement (FPS) sous votre essuie-glace avec un QR code qui semble vous diriger vers le portail de l’Agence nationale de traitement automatisé des infractions (ANTAI) ou d’un opérateur local ?
N’en tenez pas compte. Il s’agit d’une arnaque. Le site vers lequel renvoie le QR code est une contrefaçon destinée à récupérer vos données personnelles ou bancaires. L’ANTAI et les municipalités ne demandent pas de régler un FPS en flashant un QR code imprimé sur un papier déposé sur votre véhicule.
Certaines villes déposent un avis sur votre pare-brise pour vous informer qu’un FPS vous sera envoyé. Ce document n’est pas un avis de paiement et ne contient pas de QR code. Rendez-vous le site de l’ANTAI pour payer votre redevance.
De faux QR codes envoyés par SMS, mail ou courrier
Le quishing peut aussi prendre la forme d’un message qui semble envoyé par un service officiel ou une entreprise connue. Les escrocs usurpent, par exemple, l’identité du Trésor public, de l’ANTAI ou d’une société d’autoroute et vous adressent un courrier, un e-mail, ou un SMS.
Les prétextes sont nombreux :
Dans tous les cas, le besoin n’est pas réel. Vous vous retrouvez sur un site frauduleux lorsque vous scannez le QR code.
Les automobilistes doivent redoubler de vigilance face à la multiplication des opérations de quishing. Voici les réflexes à adopter :
Privilégiez les applications officielles et la saisie directe de l’URL
Lorsque vous devez effectuer un paiement ou une démarche, passez directement par le site ou l’application officielle. Privilégiez votre badge multiréseau pour payer votre recharge électrique quand vous le pouvez.
Si vous recevez un message avec un lien ou un QR code, évitez d’y recourir. Saisissez vous-même l’adresse du service concerné dans votre navigateur ou recherchez le site sur Google. Voici les adresses de quelques plateformes que vous pouvez être amenés à utiliser :
De la même manière, si vous devez installer une application pour payer un stationnement ou encore une recharge, recherchez directement le nom de l’opérateur sur l’App Store ou Google Play. Ne téléchargez jamais une applicationaprès avoir scanné un QR code trouvé sur votre voiture ou dans la rue.
Ne scannez jamais un QR code suspect
Avant de flasher un QR code sur une borne ou un horodateur, vérifiez qu’il n’a pas été recouvert par un autocollant. Un code ajouté par-dessus celui imprimé sur l’appareil doit vous alerter. En cas de doute, utilisez plutôt l’application de l’opérateur ou votre badge de recharge.
Inspectez le nom de domaine (URL)
Après avoir scanné un QR code, regardez l’adresse affichée dans la barre de navigation. Le nom de domaine doit correspondre à celui du service que vous souhaitez utiliser.
Méfiez-vous en particulier des adresses inhabituelles, des fautes d’orthographe ou d’une extension de domaine différente de celle du vrai site. Ne vous laissez pas non plus tromper par la présence de « https » ou d’un cadenas dans l’URL. Ils ne suffisent pas à prouver qu’un site est fiable.
Vérifiez aussi l’URL au moment de saisir vos numéros de carte bancaire. L’adresse web dans votre navigateur change souvent pour afficher le nom du prestataire de paiement sécurisé. Pour les services de l’État (amendes, carte grise, Crit'Air) : la page de paiement exploite les serveurs de la Direction générale des Finances publiques (DGFiP) et doit obligatoirement comporter l’extension .gouv.fr.
Si, au moment de payer, l’adresse web se termine par des extensions comme .site, .online ou .top, interrompez immédiatement la transaction.
Ne communiquez jamais vos identifiants bancaires
Pour payer une recharge, vous devez renseigner les informations nécessaires au paiement, comme votre numéro de carte bancaire. En revanche, l’opérateur ne vous demandera jamais vos identifiants de banque en ligne ou votre mot de passe.
Si vous repérez un faux QR code sur une borne de recharge ou un horodateur, prévenez l’opérateur afin qu'il puisse vérifier l’installation et retirer l’autocollant frauduleux avant que d’autres conducteurs soient piégés.
Vous avez flashé un QR code suspect ? Informez immédiatement votre banque. Elle vous indiquera les précautions à prendre pour sécuriser votre compte et pourra bloquer les tentatives de paiements frauduleux. Pensez aussi à surveiller vos relevés bancaires afin de repérer toute opération inhabituelle. Si une transaction frauduleuse apparaît, signalez-la sans attendre à votre banque.
Vous pouvez également signaler la tentative de quishing sur la plateforme Cybermalveillance.gouv.fr. Les signalements permettent d’alerter les autres automobilistes, de faire bloquer les faux sites et nourrissent le travail des enquêteurs.
