Un QR code ne révèle jamais sa destination avant d’être scanné, c’est exactement ce qui rend possible une arnaque aussi simple qu’un autocollant collé par-dessus le bon code.
Un simple autocollant peut suffire
Le principe, baptisé quishing dans le jargon de la cybersécurité, ne demande aucune compétence informatique particulière, un fraudeur imprime son propre code, renvoyant vers son propre compte ou un faux site de paiement, puis le colle physiquement sur le code légitime d’un commerçant, d’une borne ou d’une affiche. Le procédé a déjà touché des parcmètres américains, dans plusieurs villes où les automobilistes scannaient sans le savoir un code frauduleux à la place de celui de la municipalité.
Ce que la victime ne voit jamais venir
Un QR code légitime et un QR code piégé sont visuellement identiques, un assemblage de carrés noirs et blancs qui ne dit rien de l’endroit où il mène. La seule information fiable arrive après le scan, au moment où l’application affiche le nom du bénéficiaire et le montant demandé, ce qui explique pourquoi tant de victimes valident une opération sans jamais soupçonner le piège.
Le détail qui trahit un autocollant
Un réflexe simple permet souvent de repérer la supercherie avant même de scanner, passer le doigt sur le code. Un code imprimé directement sur un support reste parfaitement plat, tandis qu’un autocollant collé par-dessus laisse une épaisseur ou un bord légèrement soulevé au toucher.
Pourquoi ça devient un risque à surveiller en Côte d’Ivoire
Les cas documentés jusqu’ici concernent surtout l’Europe et les États-Unis, mais le mécanisme ne connaît pas de frontière, un autocollant coûte quelques francs et se pose en quelques secondes sur n’importe quel code affiché par un commerçant. En Côte d’Ivoire, la nouvelle plateforme de paiement interopérable PI-SPI intègre justement un garde-fou qui s’applique au même type de fraude, l’application affiche le nom et le pays du bénéficiaire avant toute confirmation, ce qui permet de repérer immédiatement qu’un paiement s’apprête à partir vers quelqu’un d’autre que le commerçant attendu.