Un autocollant, un QR code presque identique à l’original, et voilà comment un automobiliste bruxellois a failli voir ses coordonnées bancaires filer vers des escrocs plutôt que vers TotalEnergies. Le procédé s’appelle le « quishing », contraction de QR code et de phishing, et il vise depuis plusieurs mois les bornes de recharge électrique installées sur la voie publique en Belgique.
À retenir
- Un autocollant suffit : comment les arnaqueurs remplacent les vrais codes QR par les leurs
- Vous croyez payer la recharge, mais vos données bancaires disparaissent dans les poches des cybercriminels
- Ces bornes deviennent des cibles car elles gèrent comptes, paiements et données sensibles en ligne
Une Bruxelloise raconte sa mésaventure place Jean Jacobs
L’histoire s’est déroulée à deux pas du Palais de Justice, un endroit qu’on associe plus volontiers à la Justice qu’à la petite arnaque de rue. Une habitante de Saint-Gilles a failli tomber dans une arnaque lorsqu’elle a fait charger sa voiture électrique à Bruxelles, place Jean Jacobs, à deux pas du rond-point Louise et du Palais de Justice. Rien d’inhabituel au départ : elle gare sa voiture et la branche à la borne. C’est au moment de payer que les choses se gâtent.
Quelque chose de louche se passe lorsqu’elle scanne le QR code permettant de lancer la recharge : elle tombe d’abord sur un site « erreur », puis sur une page qui n’était pas celle de TotalEnergies. Un détail qui aurait pu passer inaperçu à quelqu’un de pressé, un soir de pluie, avec une batterie qui clignote dans le rouge. En regardant de plus près, elle comprend enfin ce qui cloche : un autocollant frauduleux avec un code QR avait été placé sur le code de la borne. Un collage par-dessus l’original, littéralement.
La bonne nouvelle, c’est qu’elle s’en sort indemne : elle a vérifié et n’a pas été débitée, mais elle pense aux personnes plus vulnérables, confie-t-elle. Un réflexe salutaire, mais qui suppose déjà d’avoir l’œil, ce qui n’est pas donné à tout le monde à 22h sous la pluie namuroise ou bruxelloise.
Le mode opératoire, entre discrétion et efficacité redoutable
Ce type de fraude n’a rien d’artisanal au sens où on l’imagine. Le modus operandi consiste à placer un faux code QR sur une borne de recharge, qui redirige l’utilisateur vers un site web contrefait ressemblant à celui du fournisseur de services, où ses informations bancaires sont ensuite collectées par les cybercriminels. Le piège fonctionne d’autant mieux que les montants réclamés restent crédibles : souvent, ces transactions sont effectuées pour des montants similaires à ceux d’une recharge normale, afin de ne pas éveiller les soupçons.
Certains escrocs poussent même le détail jusqu’à copier l’identité visuelle du vrai opérateur. Les cybercriminels spécialisés dans le quishing créent un faux site web, génèrent un QR code associé, et intègrent parfois un logo contrefait de l’opérateur de bornes de recharge, de quoi tromper complètement les automobilistes. Résultat : une facture qui ressemble à s’y méprendre à celle qu’on aurait payée normalement, sauf que l’argent ne finance aucune recharge et file directement dans une poche qui n’a rien d’un opérateur énergétique.
Ce n’est pas non plus un phénomène isolé aux bornes électriques. Une arnaque similaire avait déjà été constatée sur des horodateurs bruxellois, et la police n’est pas restée les bras croisés : la police de Bruxelles-Capitale/Ixelles a interpellé un individu soupçonné d’avoir collé de faux codes QR sur des horodateurs dans le centre-ville de Bruxelles. Contactée sur le dossier des bornes de recharge, la police Bruxelles-Ixelles dit être au fait de ce genre d’arnaques, qualifiées de « quishing », et renvoie vers le site Safe On Web pour davantage d’informations.
Pourquoi ces bornes sont-elles devenues des cibles de choix
La multiplication des points de charge sur l’espace public crée mécaniquement plus d’occasions pour les fraudeurs. Une borne de recharge n’est plus une simple prise électrique : c’est un terminal connecté qui gère comptes utilisateurs, moyens de paiement et transferts de données, souvent via des serveurs distants pas toujours suffisamment sécurisés. Cette dimension technique explique pourquoi le phénomène ne se limite pas à quelques cas isolés et pousse de plus en plus d’opérateurs à publier des mises en garde officielles.
Le centre belge pour la cybersécurité a d’ailleurs tiré la sonnette d’alarme sur son portail Safeonweb, avec un mécanisme décrit sans détour : quand les utilisateurs ouvrent le site, on leur demande d’entrer leurs coordonnées bancaires pour effectuer le paiement, sans qu’ils sachent que des cybercriminels ont recouvert le QR code officiel par un autre qui renvoie vers un site frauduleux, permettant ainsi aux escrocs d’obtenir toutes leurs données bancaires et de faire des retraits. Le conseil qui suit est sans ambiguïté : contacter sa banque et/ou Card Stop au 078 170 170 si des informations bancaires ont été transmises, si de l’argent disparaît du compte bancaire ou si un transfert a été effectué vers un fraudeur.
Les réflexes à adopter avant de sortir son smartphone
La parade la plus simple reste visuelle. Avant de scanner quoi que ce soit, un coup d’œil suffit souvent : le QR code fait-il bien partie de l’impression d’origine de la borne, ou ressemble-t-il à un autocollant rajouté, mal aligné, légèrement décollé sur un coin ? Un opérateur d’électricité belge le formule ainsi dans ses conseils à ses clients : « Soyez particulièrement vigilant avant de commencer vos sessions de charge. Un simple contrôle peut vous aider : vérifiez que les autocollants avec les QR codes apposés sur les bornes de recharge n’ont pas été recouverts d’un autre autocollant. » L’opérateur recommande aussi une vérification a posteriori : scanner le code QR et vérifier si le lien semble fiable avant d’y entrer la moindre donnée bancaire.
La solution la plus radicale reste évidemment de contourner le QR code : privilégier une application officielle d’opérateur téléchargée en amont, ou une carte de recharge dédiée, plutôt que de scanner à chaque arrêt un autocollant sur lequel n’importe qui peut coller n’importe quoi. Un détail réglementaire pourrait d’ailleurs changer la donne à moyen terme : le règlement européen AFIR sur les infrastructures pour carburants alternatifs impose désormais des terminaux de paiement par carte bancaire sur les nouvelles bornes de forte puissance, une piste plus difficile à falsifier qu’un simple bout de papier collé à la va-vite sur un écran tactile.
Sources : europesays.com | lavenir.net