24.01.2023 - Les codes QR, qui connaissent une popularité grandissante, sont utilisés aux fins les plus diverses. Ils peuvent contenir l'adresse d'un site Internet ou encore servir de base à divers processus logistiques. Ils figurent désormais aussi sur des factures. En Suisse, depuis le 1er octobre 2022, seules les factures à code QR sont acceptées. Cependant, ces dernières aussi peuvent être source d'arnaques. Deux cas signalés au Centre national pour la cybersécurité (NCSC) la semaine dernière en sont la preuve.
Semaine 3: de la manipulation de factures aux abonnements pièges, hausse du nombre d'escroqueries liées à des codes QR
Business e-mail compromise – Facture trompeuse à l'air authentique, désormais aussi pour les factures à code QR
Les cybercriminels cherchent de plus en plus souvent à dénicher des factures ou des ordres de paiement dans les comptes de messagerie qu'ils piratent, en vue de les copier et de les falsifier. Ils modifient le numéro IBAN du compte sur lequel le montant doit être versé, puis ils envoient à nouveau la facture à la victime en se faisant passer pour l'émetteur. Usant de n'importe quel prétexte, ils affirment que le destinataire a changé de compte bancaire et que le montant doit être versé sur un nouveau compte, qui appartient en réalité à l'escroc.
Jusqu'à présent, dans le cadre de telles fraudes à la facturation, aussi appelées «piratage de la messagerie professionnelle» (business e-mail compromise), les pirates se contentaient de modifier le numéro IBAN inscrit sur la facture ou d'indiquer à la victime que le montant devait être transféré sur un autre compte. Ce n'est pas ainsi qu'ils ont procédé dans le cadre de l'arnaque signalée au NCSC la semaine passée. La facture a en effet été complètement falsifiée. Non seulement le numéro IBAN a été modifié, mais le code QR a aussi été adapté en conséquence. La victime pouvait d'autant plus difficilement se rendre compte de l'escroquerie que le nouveau compte indiqué était un compte suisse.
- Sensibilisez tous vos collaborateurs à ce type d’escroquerie. Ceux qui travaillent au service financier ou qui ont des postes clés doivent impérativement être informés au sujet de ces attaques potentielles.
- Ne donnez jamais suite à une demande de paiement inhabituelle.
- Si une demande de paiement vous paraît étrange, vérifiez par téléphone au sein de votre entreprise si le paiement doit bel et bien être effectué.
- Tous les processus relatifs aux opérations de paiement doivent être clairement réglementés au sein de l'entreprise et appliqués par les collaborateurs dans tous les cas (par ex. le principe du double contrôle ou la signature collective à deux).
Lorsqu'un code QR renvoie à la mauvaise page
La semaine dernière, le NCSC a également reçu des signalements relatifs à des lettres d'information envoyées par une entreprise par courrier postal. Dans le but de faciliter la procédure de feed-back, ces lettres contenaient un code QR qui permettait aux destinataires d'accéder directement à la page Internet correspondante sans devoir en saisir manuellement l'adresse. Certains destinataires se sont plaints auprès de l'expéditeur des lettres, indiquant qu'ils avaient atterri sur un site Internet douteux où on leur réclamait leurs données de carte de crédit.
Si le contexte était d'abord flou, le NCSC a rapidement pu exclure une manipulation du code QR en lui-même. En effet, ce dernier était identique dans toutes les lettres, que les personnes aient été redirigées ou non vers une mauvaise page. Les soupçons se sont donc portés sur l'application permettant de scanner les codes QR, d'autant que toutes les personnes ayant rapporté l'incident avaient utilisé la même. Lorsque le NCSC a contrôlé l'application, il a constaté que le processus de scannage ne présentait aucune irrégularité et que le lien était correctement reproduit. Il a toutefois noté un fait étrange: à chaque consultation de la page, une publicité s'affichait dans la partie inférieure de l'écran. Certaines de ces publicités visaient à désorienter l'utilisateur en lui faisant croire qu'elles faisaient partie de l'application.
Concrètement, un bouton «Start» vert vif s'affiche en bas de l'écran. Le bouton «Verbindung öffnen», qui permet d'accéder à la bonne page, est, lui, entouré en bleu clair discret. Une personne pressée qui ne regarde pas attentivement la page cliquera inévitablement sur le bouton le plus voyant. C'est précisément sur cela que comptent les escrocs qui diffusent ce genre de publicité. Leur but est d'embrouiller les utilisateurs et de les inciter à cliquer sur un lien douteux, qui mène par exemple à un abonnement piège, comme dans le cas signalé. Le fournisseur, qui met de l'espace publicitaire à disposition dans son application pour financer cette dernière, ne peut rien faire contre ces ruses. En effet, il commande la publicité à des entreprises tierces et n'a donc aucune influence sur le contenu diffusé.
Dans la plupart des cas, les utilisateurs ne savent pas que l'application contient de la publicité, car cela est indiqué de façon peu visible.
- Utilisez une application fiable et sécurisée lorsque vous scannez des codes QR. Lorsque vous utilisez une application, votre appareil vous demandera de confirmer l'action avant d'exécuter le code contenu dans le QR. Tant chez Apple que chez Android, l'appareil photo peut nativement scanner les codes QR.
- Une fois le code scanné, la plupart des applications affichent l'action qui sera exécutée ou la page vers laquelle le code renvoie. Vérifiez ces informations.
- Ne saisissez jamais de données d'authentification sur un site Internet auquel vous avez accédé au moyen d'un code QR.
- Avant de scanner un code QR, regardez-le bien ou touchez-le pour vous assurer de ne pas avoir affaire à un autocollant collé sur l'original.
- Si le code QR scanné contient un script malveillant, signalez-le aussitôt au propriétaire de l'emplacement (magazine, site Web, etc.) où vous l’avez trouvé.
Vous trouverez de plus amples informations à l'adresse :
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous:
Dernière modification 24.01.2023
