Le quishing, l'arnaque au QR code en clair
Un client scanne le carre colle sur votre terrasse. Au lieu du menu, une page lui reclame un numero de carte. Ce n'est pas votre code : c'est du quishing. Le mot est la contraction de QR code et de phishing.
Le sujet est mediatise, donc vos clients en ont entendu parler. C'est une raison de plus pour maitriser ce que vous collez sur vos tables, pas pour y renoncer.
Qu'est-ce qu'un QR code ?
Un QR code est une image qui contient du texte, le plus souvent une adresse internet. L'appareil photo lit le code et propose d'ouvrir la page. C'est un raccourci, rien d'autre : il n'installe rien et n'execute aucun programme. Si le fonctionnement technique vous interesse, nous l'avons detaille dans notre article sur comment fonctionne un QR code.
Qu'est-ce que le quishing ?
Le quishing est de l'hameconnage classique, avec un code a la place du lien. Des cybercriminels fabriquent un faux code qui va rediriger l'utilisateur vers un site imitant une marque connue. La page demande ensuite des donnees personnelles, des identifiants, des mots de passe ou des coordonnees bancaires.
La difference avec le phishing par emails est simple : personne ne peut lire un carre de pixels a l'oeil nu. Le reflexe habituel, survoler le lien avant de cliquer, ne s'applique plus. C'est ce point aveugle que la fraude exploite.
Ou trouve-t-on ces QR codes frauduleux ?
Presque toujours dans des lieux publics, sur un support que personne ne surveille en permanence. Le mode operatoire ne varie pas : un autocollant malveillant vient recouvrir un code legitime, ou un faux courrier arrive dans la boite aux lettres.
Parking, horodateur et borne de recharge
C'est le cas le plus repandu. Un autocollant est colle sur l'horodateur ou la borne, et la page de paiement recopie l'interface de la ville. Les victimes paient un stationnement qui n'existe pas et laissent leurs informations bancaires au passage. Les municipalites concernees communiquent regulierement sur ces arnaques.
Assurance maladie, ameli et cpam
L'arnaque qr code assurance maladie circule par courrier ou par SMS. Le message annonce un remboursement en attente ou une carte vitale a renouveler. Le code renvoie vers une fausse page ameli ou cpam qui reclame numero de securite sociale et RIB. Aucun organisme public ne demande vos coordonnees bancaires de cette maniere.
Le bon coin, courrier et livraison
Sur les petites annonces, un faux acheteur envoie un code de paiement soi-disant securise. La victime scanne et valide en realite un virement vers le vendeur du faux code. Meme logique pour les avis de passage type DPD glisses dans la boite aux lettres.
Le QR code de votre menu n'est pas le meme objet
Un code de menu pointe vers votre propre page, hebergee chez votre prestataire, sans formulaire ni paiement. Il ne demande ni identite, ni carte, ni mot de passe. Le seul risque reel est le collage d'un autocollant par-dessus le votre, et il se traite avec du materiel, pas avec de la technologie.
| Critere | QR code frauduleux | QR code de menu maitrise |
|---|---|---|
| Origine du code | Autocollant ajoute, courrier inconnu | Imprime ou grave par vos soins |
| Adresse ouverte | URL raccourcie ou domaine imite | Votre domaine, toujours le meme |
| Donnees demandees | Carte bancaire, mots de passe, identite | Aucune |
| Consequence d'un scan | Fraude, prelevements, usurpation | Affichage de la carte |
Sur le terrain, les incidents en salle ne viennent jamais du QR code lui-meme : ils viennent d'un support fragile, colle a la va-vite, que n'importe qui peut recouvrir en dix secondes.
Comment reperer un faux QR code
Apprenez ces signes a votre equipe. Ils suffisent dans la quasi-totalite des cas, et ils sont valables aussi pour vos clients.
- Un autocollant pose sur un autre support : decollez un coin, verifiez ce qu'il y a dessous.
- Une adresse raccourcie ou un nom de domaine approximatif : en cas de doute, mieux vaut ne pas le scanner.
- Une page qui reclame des informations bancaires alors que vous consultez un menu ou un horaire.
- Un sentiment d'urgence : amende a regler, colis bloque, compte suspendu.
Sur la plupart des telephones, l'adresse s'affiche avant l'ouverture de la page. Verifiez ce premier mot du domaine, celui qui precede le premier slash. C'est lui qui dit ou vous allez vraiment, et nous l'expliquons dans notre guide pour scanner un QR code en toute securite.
Cinq gestes pour proteger vos clients en salle
La securite d'un QR code en restaurant est une question de support physique et de routine, pas d'informatique.
- Preferez le chevalet grave, le sticker sous vernis ou le code imprime dans la carte plutot qu'un autocollant nu.
- Faites un tour de salle chaque semaine : un code recouvert se voit en trente secondes.
- Ajoutez votre logo et le nom de l'etablissement autour du code, pour eviter la confusion.
- Scannez vous-meme deux tables au hasard chaque matin, a l'ouverture.
- Ne demandez jamais de donnees personnelles ni de paiement depuis ce code : vos clients apprendront que chez vous, un scan n'ouvre qu'un menu.
Le meme principe s'applique aux autres codes de l'etablissement, y compris celui de votre acces wifi pour les clients.
Que faire si vous ou un client etes victimes
Agissez vite : la plupart des prelevements frauduleux peuvent etre bloques dans les heures qui suivent. Faites opposition aupres de la banque, changez les mots de passe reutilises ailleurs, puis signalez l'arnaque sur les plateformes officielles.
En salle, si un faux code est trouve, retirez le support, photographiez-le et prevenez les clients presents. Deposer plainte reste utile, meme sans perte financiere : ces signalements permettent de reperer les series d'autocollants malveillants dans un quartier.
Le QR code reste un outil neutre. Bien pose, bien surveille, il ne presente aucun des risques dont parlent ces affaires de fraude.