Les arnaques aux codes QR sont toujours plus fréquentes, et les pirates sont de plus en plus astucieux et audacieux.

Lorsqu’elle a scanné un QR code collé sur la vitrine d’un salon de thé, cette citoyenne singapourienne pensait obtenir une boisson gratuite en échange de quelques réponses à un sondage en ligne. L’app qu'elle a installée était en fait un malware pour Android à laquelle elle a donné ses identifiants bancaires. Elle a perdu 20 000 $ dans l'affaire.

À lire — Comment scanner un QR Code sur Android ou un iPhone

Selon Beaver Chua, directeur de la sécurité informatique de la banque OCBC, « bien que les fraudes aux malwares ne soient pas particulièrement nouvelles, les arnaqueurs sont toujours plus créatifs […] et le collage de faux codes QR à l’extérieur des établissements de restauration et de cafétéria est un autre moyen astucieux d’attirer les victimes, car les consommateurs ne font pas toujours la différence entre QR codes légitimes et malveillants ». Rien qu’à Singapour, la police annonce que ces campagnes de phishing ont fait 113 victimes et ont permis aux hackers de voler l’équivalent de 300 000 € en moins de trois mois.

Les pirates utilisent des codes QR pour voler vos informations bancaires

Il détaille le fonctionnement du malware : « quand la victime scanne le code QR, on lui demande d’installer une application contenant un malware qui donne accès au micro et à la caméra du smartphone, ainsi qu’au service Android d’accessibilité censé aider les utilisateurs atteints d’un handicap, ce dernier permet aux hackers de visionner et de contrôler l’écran de la victime ». Les cybercriminels patientent jusqu’à ce que leur cible utilise une application de banque en ligne et enregistrent alors ses identifiants.

D’autres exemples d’utilisation des QR codes sont apparus aux États-Unis et en Angleterre, par exemple, où les arnaqueurs déposent de fausses contraventions sur le pare-brise de leurs victimes. Scanner le code-barre imprimé sur le ticket mènera ces dernières sur un faux site officiel qui leur demandera de s’acquitter du montant d’une amende fictive. Pour ne pas subir ce genre de désagrément, Bleeping Computer rappelle qu’en cas de doute, il faut toujours « vérifier la contravention et sa correspondance avec les sites web officiels des organismes publics concernés ».