Pourquoi il faut parfois se méfier avant de scanner un QR Code

La démocratisation des QR Codes depuis la pandémie de Covid incite aussi les escrocs à passer par ce biais pour trouver leurs victimes, alerte la Federal Trade Commission, aux Etats-Unis.

Après les escroqueries par mail et par SMS, les escroqueries au QR Code se multiplient. Ce 6 décembre, la Federal Trade Commission (FTC), gendarme américain de la concurrence et de la consommation, publie une mise en garde concernant l'utilisation de ces "codes-barres" 2.0.

"Les escrocs dissimulent des liens dangereux dans les QR Codes pour dérober des informations personnelles" alerte ainsi la FTC sur son site.

L'agence américaine évoque des scénarios identiques à ceux utilisés dans d'autres arnaques. Par exemple l'envoi d'un QR Code à scanner d'urgence, prétendument pour débloquer la livraison d'un colis, ou pour sécuriser une connexion à un compte en ligne après une tentative de connexion d'un tiers.

Des alertes en France

À chaque fois, le but est le même: convaincre la victime de scanner le QR Code dans l'urgence, pour la rediriger vers un site frauduleux. Celui-ci peut inviter l'utilisateur à renseigner des informations sensibles (identifiants, mots de passe, coordonnées bancaires), mais également déclencher l'installation immédiate et automatique d'un logiciel malveillant.

"La pandémie de Covid-19 a provoqué une résurgence des QR Codes dans notre quotidien, en faisant des outils attractifs pour les cybercriminels" explique John Fokker, directeur de l'entreprise de cybersécurité Trellix, au New York Times.

Les tentatives d'escroqueries par QR Code sont loin d'être limitées au territoire américain. En France, des arnaques similaires ont été mentionnées récemment, en mai 2023, par la gendarmerie de Seine-et-Marne.

Cette fois, les QR Codes étaient imprimés sur de faux PV, et placés sur les pare-brises d'automobilistes pour les inviter à régler une prétendue amende. Là encore, l'opération consistait en réalité à enregistrer leurs informations bancaires, pour ensuite leur dérober de l'argent.

Face à la multiplication de l'utilisation des QR Codes à des fins malveillantes, le réflexe doit être le même que pour des liens douteux reçus par SMS ou mail: en cas de doute, il est impératif de ne jamais cliquer/scanner le QR Code, et de se connecter soi-même au site du service concerné, afin d'accéder à son espace client et de consulter d'éventuelles actions en attente.

https://twitter.com/GrablyR Raphaël Grably Rédacteur en chef adjoint Tech & Co