Quishing : le faux QR code collé sur un parcmètre ou un avis d'amende

Comment l’arnaque se déroule

Le ministère de l’Économie décrit les étapes :

1. L’escroc crée un QR code qui renvoie vers un faux site, ou vers un logiciel malveillant.
2. Il le place dans un lieu public, le colle par-dessus un QR code légitime, ou l’envoie par mail.
3. Vous le scannez, puis vous tapez vos informations personnelles ou bancaires, ou vous téléchargez le fichier proposé.
4. L’escroc récupère les données ou l’argent.

Cybermalveillance.gouv.fr cite de faux avis de contravention laissés sur des pare-brise dans plusieurs villes, de faux QR codes collés sur des parcmètres ou des bornes de recharge, et de faux avis de passage déposés dans les boîtes aux lettres.

Les signes qui le trahissent

• Le QR code est un autocollant posé sur un autre. C’est le premier contrôle conseillé par le ministère de l’Économie : si un autre QR code apparaît en dessous, cela doit vous alerter.
• L’adresse affichée après le scan n’est pas celle attendue. Votre téléphone montre l’adresse avant de l’ouvrir. Comparez-la avec le nom de l’application ou du site inscrit sur l’horodateur, la borne ou le courrier.
• La page réclame tout de suite votre carte ou votre identité. Le ministère demande une vigilance particulière à ce moment-là.
• Un avis d’amende arrive avec un QR code pour payer vite. L’ANTAI demande de vérifier que les liens et QR codes reçus mènent bien à ses sites officiels : amendes.gouv.fr pour payer une amende, stationnement.gouv.fr pour le stationnement, antai.gouv.fr pour consulter ou contester. Sinon, c’est un site frauduleux.

Un QR code est un lien que vous ne pouvez pas lire. Vous ne voyez l’adresse qu’une fois le code scanné : c’est à cet instant qu’il faut la regarder.

Ce que l’escroc veut

Vos informations personnelles ou bancaires, ou l’argent que vous versez, selon le ministère de l’Économie. Le faux site peut imiter une page de paiement de stationnement ou de recharge, pour que la demande de carte paraisse normale. Le QR code peut aussi vous pousser à télécharger un logiciel malveillant.

Que faire tout de suite

1. N’ouvrez pas le lien au moindre doute. C’est la consigne commune de Cybermalveillance.gouv.fr et du ministère de l’Économie.
2. Payez autrement : par carte directement sur l’horodateur ou la borne, ou par l’application officielle que vous avez déjà, ou par le site de la ville tapé à la main.
3. Prévenez le gestionnaire de l’équipement (la mairie pour un parcmètre) si vous repérez un autocollant suspect, pour qu’il soit retiré.

Si vous avez déjà payé, ou donné votre carte

Vous avez scanné sans rien taper. Fermez la page. Ne téléchargez rien de ce qu’elle propose.

Vous avez donné votre carte bancaire. Chaque minute compte.

1. Faites opposition tout de suite, auprès de votre banque ou au 0 892 705 705, le serveur interbancaire d’opposition, ouvert jour et nuit. Notez le numéro d’enregistrement qu’on vous donne.
2. Gardez les preuves : une photo du QR code et de l’équipement, l’adresse du faux site, vos relevés.
3. Signalez la fraude sur Perceval, le service en ligne de signalement des fraudes à la carte bancaire, avec votre numéro d’opposition et vos relevés. Le récépissé servira pour votre banque.
4. Demandez le remboursement à votre banque sans attendre. Selon Service-public.gouv.fr, une opposition faite tard peut justifier un refus, et un paiement frauduleux de plus de 13 mois ne peut plus être remboursé.

Vous avez subi une escroquerie. Le ministère de l’Économie rappelle que vous pouvez porter plainte en ligne dès qu’une somme vous a été demandée, même sans versement, ou au commissariat et à la gendarmerie. Le diagnostic de 17cyber.gouv.fr vous oriente selon votre cas.

Le même piège existe par SMS, avec un lien à la place du QR code : voyez le lien tinyurl dans un SMS.