Arnaque par QR code stationnement : comment un faux code vole vos données bancaires

En bref

Un QR code n’est pas un virus par nature, mais il devient un outil de vol lorsqu’un criminel remplace le code légitime par un code trafiqué. Ce mécanisme redirige l’utilisateur vers un site frauduleux pour voler des identifiants bancaires ou des données personnelles.

Ce qui est en jeu : la substitution d’un code physique ou numérique par un autre pointant vers une fausse page de paiement. Ce qui n’est pas en jeu : une faille technique du format QR lui-même, ni une obligation de ne plus jamais utiliser ces codes.

L’objectif de ce texte est de séparer le fonctionnement technique de la manipulation sociale. Il ne s’agit pas de donner un avis juridique, mais de comprendre comment l’arnaque opère pour éviter de fournir des données sensibles par erreur.

Le mécanisme

Le processus repose sur une substitution. Un QR code est un code-barres carré que l’appareil photo d’un smartphone peut lire pour accéder rapidement à un site web, télécharger une application ou initier un paiement.

Selon le FBI (source IC3), les cybercriminels profitent de cette rapidité d’accès. Ils ne créent pas forcément de nouveaux codes, mais modifient ceux qui existent déjà.

Deux scénarios principaux émergent :

1. Le collage physique : Un criminel colle un autocollant avec un QR code frauduleux par-dessus un code légitime (par exemple, sur un parcomètre ou une table de restaurant). L’utilisateur scanne le code qu’il croit officiel.
2. La redirection numérique : Un e-mail ou un SMS prétend qu’un paiement a échoué et invite à scanner un QR code pour régulariser la situation.

Une fois le code scanné, l’appareil est redirigé vers un site malveillant. Ce site imite l’interface de paiement légitime. L’utilisateur, pensant payer une amende ou une facture, saisit ses coordonnées bancaires. Ces informations sont alors captées par le criminel.

Le FBI précise également que certains codes malveillants peuvent tenter d’installer un logiciel malveillant (malware) sur l’appareil pour accéder à la localisation ou aux données personnelles, bien que la redirection vers un site de vol de données soit le vecteur le plus courant.

Ce qui est sourcé

Les autorités américaines ont documenté des cas concrets liés aux amendes de stationnement et de péage.

En Caroline du Nord, le Bureau du Procureur Général a alerté sur une campagne de SMS ciblant les automobilistes. Ces messages prétendent que le destinataire a une infraction de stationnement ou de péage non réglée.

Le message contient des éléments de crédibilité factices :

• Il cite des lois de l’État.
• Il mentionne un numéro de dossier.
• Il indique une date et un lieu d’audience.
• Il nomme un juge et un greffier de tribunal.

Cependant, selon les autorités, ces éléments sont faux. Le juge et le greffier mentionnés n’existent pas. Le message exige un paiement immédiant sous la menace de conséquences légales graves, comme une suspension de permis de conduire ou une comparution au tribunal.

De plus, le FBI a émis une alerte générale (référence I-011822-PSA) indiquant que les cybercriminels utilisent cette technique pour rediriger les paiements vers leurs propres comptes.

Une règle de vérification est explicitement donnée par les autorités : si vous recevez un e-mail indiquant qu’un paiement a échoué et que vous devez utiliser un QR code pour le compléter, vous devez téléphoner à l’entreprise concernée pour vérifier l’information avant de scanner quoi que ce soit.

Nuance

Il est important de ne pas diaboliser la technologie. Le FBI rappelle que les QR codes ne sont pas malveillants par nature. Ils sont utilisés légitimement par des entreprises pour faciliter l’accès sans contact.

La confusion vient de l’impossibilité pour l’œil humain de lire l’URL cachée dans le code. Contrairement à un lien texte où l’on peut vérifier l’orthographe de l’adresse web, le QR code cache sa destination.

Cependant, cela ne signifie pas qu’il faut ignorer tous les codes. La prudence s’applique surtout aux contextes de paiement ou de données sensibles.

Une autre nuance concerne les sites officiels. Aux États-Unis, les sites gouvernementaux officiels utilisent le domaine .gov. Un site de paiement d’amende émanant d’une autorité publique devrait logiquement se situer sur un tel domaine. Si le QR code mène vers une adresse suspecte (par exemple, un domaine générique ou mal orthographié), c’est un signal d’alarme.

Enfin, les autorités soulignent que les tribunaux et les offices de police ne demandent pas par SMS de fournir des numéros de carte de crédit, de sécurité sociale ou des informations financières sensibles.

Et ensuite

Comment vérifier avant de scanner ?

1. Vérifiez la source : Si le message vient par SMS ou e-mail, ne scannez pas. Appelez le service concerné par un numéro connu (non celui du message).
2. Inspectez le code : Regardez si le code semble avoir été ajouté par-dessus un autre (collage suspect).
3. Vérifiez l’URL : Avant de valider le paiement, utilisez une application de lecture de QR code qui affiche l’URL de destination. Vérifiez si l’adresse correspond bien à l’entité officielle.
4. Contactez l’autorité : En cas de doute sur une amende de stationnement, contactez directement l’administration des véhicules (DMV) ou le greffe du tribunal concerné par téléphone.

Si vous avez déjà scanné un code suspect et fourni des informations, contactez immédiatement votre banque pour bloquer les cartes concernées.

Pour aller plus loin

• Alerte FBI sur les QR codes malveillants (IC3) : Explication officielle par le FBI sur la façon dont les criminels trafiquent les codes pour voler des fonds.
• Conseils de cybersécurité (Ready.gov) : Ressources du gouvernement américain pour identifier les sites officiels (.gov) et se protéger des attaques.
• Alerte arnaque stationnement en Caroline du Nord (NCDOJ) : Détails concrets sur les fausses amendes de stationnement et les éléments de vérification.