Reconnaître le quishing (arnaque par code QR) et comment s’en protéger.

Les escrocs placent des codes QR frauduleux dans des lieux physiques (par exemple sur des horodateurs ou des cartes de menu) ou les envoient par voie numérique, par e-mail ou par courrier.

Vous scannez un code QR avec votre smartphone en pensant accéder à un site Internet ou un service légitime. En réalité, le code vous redirige vers une page Internet falsifiée, d’apparence parfaitement authentique.

Sur ce site, on vous demande souvent, sous prétexte d’une urgence particulière, de saisir des données sensibles telles que des mots de passe, des identifiants de banque en ligne ou des informations de carte de crédit.

Les escrocs interceptent en temps réel les données que vous saisissez et les utilisent pour des prélèvements non autorisés ou un vol d’identité.

S’il s’agit d’un code QR physique, par exemple sur un parcmètre, vérifiez si le code QR d’origine a été recouvert. Utilisez également la prévisualisation des liens de votre smartphone et vérifiez attentivement l’adresse Internet affichée avant de cliquer sur le lien.

Ne vous laissez pas mettre sous pression et ne saisissez des données sensibles, telles que des mots de passe ou des informations de paiement, que si vous avez la certitude que le site web est authentique.

Voici comment vérifier si une URL est authentique :

1. Copiez l’URL du site Internet suspect. 
2. Ouvrez la page https://www.ibarry.ch/fr/controles-de-securite/check-a-website/ et collez-y l’URL copiée.
3. Cliquez sur « Vérifier ». 
4. Vous recevrez immédiatement une estimation sur la fiabilité du site.

En cas de doute sur l’authenticité d’un code QR, d’un e-mail ou d’un site Internet, appelez impérativement votre banque ou l’entreprise directement pour vous assurer de leur authenticité. Pour ce faire, utilisez les coordonnées figurant sur les pages officielles des banques et des entreprises, et non celles figurant dans un e-mail ou sur une page consultée via un e-mail.

Configurez systématiquement l’authentification à deux facteurs pour vos comptes en ligne. Cette méthode complète la simple saisie d’un mot de passe par une mesure de sécurité supplémentaire, par exemple la saisie d’un code secret fourni par le prestataire.

Les clés d’accès sont encore plus sûres que l’authentification à deux facteurs. Elles remplacent les mots de passe classiques par l’empreinte digitale, la reconnaissance faciale ou l’authentification de l’appareil. Même si des escrocs vous attirent sur un site web frauduleux, les clés d’accès ne peuvent pas être transmises facilement. Pour en savoir plus sur les clés d’accès, cliquez ici.

Assurez-vous que le système d’exploitation de votre PC et les applications de votre téléphone portable sont toujours à jour. Cela aide à combler les failles de sécurité.

Le quishing est une forme particulière de phishing. La différence principale est la suivante : avec le quishing, vous ne voyez souvent l’adresse Internet réelle qu’après avoir scanné le code QR. La règle bien connue « vérifier avant de cliquer » ne fonctionne donc que dans une certaine mesure.

Au quotidien, on distingue trois différences essentielles :

1. L’adresse Internet est intégrée dans une image (code QR) et est plus difficile à détecter pour de nombreux filtres anti-spam et de sécurité.
2. Le support passe souvent de l’ordinateur ou d’une lettre au smartphone, où on est souvent moins vigilants.
3. La fraude fonctionne également hors ligne, par exemple via des courriers, des horodateurs, des prospectus ou des autocollants dans les lieux publics.

De ce fait, le quishing semble souvent plus fiable que les e-mails de phishing classiques et n’est pas immédiatement identifié comme une tentative de fraude par de nombreuses personnes.

Scanner un code QR n’est généralement pas dangereux. Un code QR n’est pas un programme, mais contient uniquement des informations que votre smartphone peut lire et afficher.

Le danger survient généralement après, lorsque vous saisissez des données personnelles sur un site web, autorisez un paiement ou installez une application. C’est précisément ce à quoi visent les attaques de quishing. Le but est de vous inciter à divulguer des mots de passe, des données de carte bancaire, des identifiants ou des codes de confirmation.

Il faut faire particulièrement attention lorsque, après avoir scanné le code QR, un site Internet s’ouvre immédiatement, surtout si des données de paiement vous sont demandées ou si vous devez installer une application en dehors de l’App Store officiel. Dans ce cas, vous devez immédiatement interrompre le processus.

Règle générale : ce n’est pas le scan qui pose problème, mais ce que vous faites ensuite.

Après un incident de quishing, les banques et les émetteurs de cartes examinent comment le préjudice est survenu et si les obligations de diligence applicables ont été respectées. Il n’existe pas de droit automatique au remboursement.

Si vous avez saisi vos données sur un site frauduleux ou autorisé vous-même un paiement, les établissements financiers examinent individuellement si et dans quelle mesure un remboursement est possible. De nombreux établissements effectuent dans certains cas des remboursements à titre gracieux.

Le TCS Livret Cyber Protection comble cette lacune. Il couvre les préjudices financiers jusqu’à CHF 5’000.– par sinistre, la fraude lors d’achats en ligne jusqu’à CHF 1’000.– ainsi que les frais de justice jusqu’à CHF 300’000.–.

Oui. Selon notre partenaire Bolttech, environ 84 % des cyberincidents signalés ont entraîné un préjudice financier réel. Outre les pertes financières, il existe un risque de piratage de compte et d’autres formes d’usurpation d’identité.

Important : commencez par bloquer tout flux d’argent potentiel, puis sécurisez vos accès.

Procédez dans cet ordre :

1. Bloquez immédiatement les cartes de crédit ou les comptes concernés.
2. Contactez votre banque ou TWINT afin que les paiements suspects puissent être bloqués.
3. Modifiez ensuite vos mots de passe depuis un appareil sécurisé.
4. Déconnectez-vous de toutes les sessions et de tous les appareils actifs.
5. Conservez les preuves, telles que des photos de la lettre, des captures d’écran ou l’adresse du site Internet.
6. Signalez l’incident à l’Office fédéral de la cybersécurité (OFCS) et, si nécessaire, à la police.

De nombreuses victimes perdent un temps précieux parce qu’elles ont honte ou essaient d’abord de résoudre l’incident par elles-mêmes. Ce qui compte, ce n’est pas la raison pour laquelle cela s’est produit, mais la rapidité avec laquelle vous réagissez.

Avec le TCS Livret Cyber Protection, un Case Manager vous accompagne dans les démarches à suivre en cas de besoin.

Bien souvent, vous ne reconnaîtrez pas un code QR frauduleux au premier coup d’œil. C’est pourquoi vous ne devez pas seulement regarder, mais bien observer.

Faites particulièrement attention aux signaux d’alerte suivants :

• Le code QR est apposé sous forme d’autocollant et non imprimé ou gravé directement.
• L’autocollant présente des irrégularités, des bulles d’air ou des coins décollés.
• Plusieurs codes QR sont présents sur l’appareil.
• Après avoir scanné le code QR, un site Internet inattendu s’ouvre.
• L’adresse Internet affichée ne correspond pas à l’opérateur de l’horodateur ou de la borne de recharge.

Si vous ne pouvez pas clairement identifier qui reçoit le paiement, vous devez immédiatement annuler l’opération.

Oui, les factures QR peuvent elles aussi être falsifiées ou comporter des informations de paiement altérées.

Une véritable facture QR suisse comporte la croix suisse au centre du code QR et présente également les informations de paiement sous forme de texte lisible. Vérifiez donc toujours que le nom du bénéficiaire, l’IBAN et le montant de la facture correspondent aux informations fournies par l’expéditeur.

Une différence importante : une facture QR suisse contient des informations de paiement et aucune adresse Internet. Si un code QR redirige vers un site Internet, il ne s’agit pas d’une facture QR.

Ne scannez les factures QR qu’avec votre application bancaire ou avec TWINT et vérifiez à nouveau les données de paiement affichées avant de valider le paiement.

Non. Un paiement TWINT ne peut pas être déclenché sans votre autorisation expresse.

Le risque ne réside donc pas dans un prélèvement automatique, mais dans le fait que vous confirmiez vous-même un paiement en pensant que la demande provient d’une personne ou d’une organisation de confiance.

Vérifiez donc toujours à qui l’argent est transféré et pourquoi le paiement est demandé. Vous devez redoubler de prudence lorsque l’on vous demande d’effectuer un paiement via un code QR ou un lien.

À retenir : TWINT vous protège contre les prélèvements à votre insu, mais pas contre un paiement que vous autorisez vous-même à la suite d’une fraude.

Le TCS vous soutient aussi bien avant qu’après une attaque de quishing ou toute autre cyberattaque. L’objectif est de détecter les cyberincidents le plus tôt possible et de ne pas laisser les personnes concernées seules en cas d’urgence.

Si vous possédez le TCS Livret Cyber Protection, vous pouvez contacter nos Case Managers jour et nuit en cas de suspicion.

TCS IDProtect vous informe également lorsque vos données personnelles, telles que votre adresse e-mail ou votre numéro de téléphone, apparaissent sur Internet à la suite d’une fuite de données.

Nos guides vous fournissent des conseils utiles et actuels pour vous protéger contre la cybercriminalité.

Après un incident, vous recevez une assistance précisément quand une aide rapide est essentielle. Avec le TCS Livret Cyber Protection, vous pouvez joindre notre hotline d’urgence jour et nuit. Là encore, un Case Manager vous accompagne tout au long du processus et coordonne, si nécessaire, une assistance technique, juridique et financière.