Une nouvelle forme d'escroquerie financière vise à détourner les paiements électroniques des clients au détriment des vendeurs. Selon des professionnels des risques informatiques, des cas de fraude par substitution de QR code ont été signalés en Côte d'Ivoire.
L'alerte prend une actualité particulière alors qu'une vidéo explicative, probablement d'origine asiatique, montrant le mode opératoire des délinquants circule sur les réseaux sociaux. Afin de préserver la sécurité des transactions quotidiennes et de sensibiliser les acteurs économiques, Sika finance s'est penché sur cette menace.
Une arnaque simple, baptisée ‘'quishing''
‘'On parle de quishing, contraction de QR et phishing. Dans le cas précis, il s'agit d'un QR code collé par-dessus le vrai.
On parle aussi de QR code swapping, de QR code overlay ou, en français, de fraude par substitution de QR code'', explique un professionnel des risques informatiques.
Techniquement, le mode opératoire reste élémentaire. Les malfrats impriment des étiquettes autocollantes qu'ils apposent sur les supports de paiement légitimes.
Ils se rendent ensuite dans de petits commerces de rue et collent discrètement, ou remplacent, ces faux QR codes par-dessus ceux des marchands, souvent en profitant d'un moment d'inattention ou en distrayant le commerçant, par exemple lors d'un appel téléphonique.
Lorsque les clients scannent le QR code affiché pour régler leurs achats, l'argent est directement versé sur le compte des escrocs, au lieu d'être crédité au commerçant. Ce type de manipulation, qui consiste à recouvrir un code authentique par une étiquette frauduleuse, est documenté comme l'une des principales formes de fraude liée aux paiements par QR code.
Un responsable des risques informatiques confirme la réalité du phénomène sur le terrain : ‘'plusieurs personnes en ont été victimes à Abidjan et dans l'intérieur du pays.''
Une faille d'abord physique
Pour les spécialistes, la vulnérabilité ne réside pas principalement dans la technologie de paiement, mais dans la gestion de l'espace de vente et la surveillance des supports affichés. Les codes statiques imprimés et laissés sans contrôle peuvent être remplacés, ce qui crée une opportunité pour les fraudeurs.
‘'Cela relève plutôt de la sécurité physique, au même titre que le contrôle d'accès requis pour nos locaux et nos salles serveurs. L'exposition sans surveillance des étiquettes crée l'opportunité.
C'est très simple : ne pas afficher son QR code dans une zone hors de notre contrôle. Ajouter une couche de sécurité au paiement par QR code rallongerait le processus, alors que c'est cette facilité et cette simplicité qui ont favorisé le succès du paiement par QR code'', analyse un professionnel de la sécurité informatique.
Des pertes immédiates pour les victimes
Les conséquences sont directes : le client paie, mais le commerçant ne reçoit rien. Les fonds sont transférés sur le compte de l'escroc, tandis que l'acheteur perd son argent sans que sa facture réelle soit honorée.
Le risque est d'autant plus élevé qu'une fois la transaction validée, il est généralement difficile de récupérer les fonds. Les recommandations internationales insistent ainsi sur la nécessité de vérifier l'identité du bénéficiaire avant le paiement et de confirmer la réception effective des fonds avant la remise du bien ou du service.
Verrouiller les transactions
Pour prévenir ces risques, les dispositifs de protection doivent être adaptés au niveau d'intégration du paiement dans l'activité du commerçant. Pour les cas non intégrés, un spécialiste recommande de disposer d'un compte marchand, d'un compte ordinaire et d'un terminal confié à la caissière.
Ce dernier reporte instantanément les paiements sur le compte marchand : la transaction n'est validée que lorsque la caissière en reçoit la confirmation.
Pour les structures disposant de systèmes plus élaborés, le contrôle doit être automatisé. Lorsque le système de paiement est interconnecté avec celui du commerçant, un mécanisme de validation (token de transaction ou identifiant unique) doit authentifier chaque opération avant sa prise en compte par la caissière.
Sans ces dispositifs, alerte le spécialiste, le risque de fraude et de quishing reste élevé.
Par ailleurs, ces mesures rejoignent les bonnes pratiques recommandées aux commerçants : inspection régulière des QR codes, confirmation des paiements via un tableau de bord marchand ou une notification officielle, et remise des marchandises uniquement après réception d'une confirmation de paiement.
Scannez, vérifiez et payez
Des actions préventives simples peuvent également réduire l'exposition au risque. Un expert en protection des données préconise un contrôle physique régulier du QR code affiché, tandis qu'un autre spécialiste propose l'installation d'une grille de protection empêchant l'apposition d'un autre code sans entraver sa lecture.
L'inspection quotidienne des supports, l'usage de protections inviolables et la formation du pers