La falsification d'un QR code consiste à coller un faux QR code par-dessus celui d'un commerce, pour que les clients qui le scannent arrivent sur une page frauduleuse ou paient le mauvais compte. Les commerces se protègent en vérifiant régulièrement leurs codes, en utilisant des supports inviolables, en plaçant les codes à la vue du personnel et en utilisant des liens dynamiques qu'ils peuvent surveiller et modifier.
Tout QR code imprimé dans un lieu public peut être visé : codes de paiement au comptoir, menus sur les tables, codes sur des affiches, des panneaux de stationnement ou des véhicules de livraison. Bonne nouvelle : quelques habitudes simples rendent la falsification bien plus facile à repérer et beaucoup moins efficace.
Comment fonctionne la falsification de QR code
La méthode la plus courante est rudimentaire. Un fraudeur imprime un faux QR code sur un autocollant de la bonne taille et le pose sur le code authentique. Pour un client pressé, tout semble normal.
Le faux code peut :
- Ouvrir un site copié qui demande des coordonnées bancaires, des identifiants ou des informations personnelles.
- Afficher un QR code de paiement vers un autre compte, si bien que l'argent part chez le fraudeur au lieu du commerce.
- Mener à une page qui pousse le visiteur à télécharger une application ou un fichier.
Dans plusieurs pays, des organismes de protection des consommateurs et des banques ont alerté sur les faux autocollants QR sur les horodateurs, les supports de paiement et les panneaux publics. Pour une entreprise, le préjudice est double : les clients perdent de l'argent, et ils reprochent souvent l'incident au commerce où ils ont scanné.
Les signes qu'un code a été falsifié
Apprenez à votre personnel à repérer ces signaux :
- Un autocollant aux bords en relief, avec des bulles ou d'une taille légèrement différente de l'original.
- Un code qui paraît plus récent, plus brillant ou d'une couleur différente du reste de l'affiche.
- Un second code placé à côté de l'original avec un message attrayant, comme « scannez ici pour une réduction ».
- Des dégâts, des rayures ou des traces de colle autour du code.
- Des clients qui évoquent une page étrange, une demande de connexion ou un nom de bénéficiaire inconnu au moment de payer.
Le scan reste le meilleur test. Quand vous scannez votre propre code, la destination doit correspondre exactement au lien attendu ou, pour un code de paiement, au bon nom de bénéficiaire.
Une routine de contrôle quotidienne
Une fois la routine installée, le contrôle prend moins d'une minute par code. Voici une liste simple :
- Tenez une liste de tous les QR codes affichés, avec leur emplacement et leur destination attendue.
- Regardez et touchez chaque code à l'ouverture. Passez le doigt dessus pour sentir une éventuelle couche d'autocollant supplémentaire.
- Scannez un échantillon avec un téléphone du personnel, idéalement un téléphone différent chaque jour, et vérifiez la destination.
- Vérifiez les codes de paiement en vous assurant que le nom du bénéficiaire affiché dans l'application bancaire correspond à votre entreprise.
- Retirez immédiatement tout élément suspect et conservez-le comme preuve, en le photographiant en place si possible.
- Consignez le contrôle dans un registre simple, avec la date et les initiales, pour que les oublis se remarquent.
Un outil en ligne comme notre lecteur de QR code affiche la destination avant de l'ouvrir, ce qui permet de vérifier un lien facilement sans visiter une page douteuse.
Rendre les codes plus difficiles à falsifier
Certains choix matériels rendent une superposition plus visible ou plus difficile.
- Imprimez le code directement dans le visuel de votre affiche ou de votre carte plutôt que d'utiliser un autocollant séparé. Un autocollant ajouté se remarque alors immédiatement.
- Utilisez des étiquettes inviolables ou destructibles pour les codes qui doivent être des autocollants. Elles se déchirent ou laissent apparaître un motif si quelqu'un tente de les décoller ou de les recouvrir.
- Placez les codes derrière un plexiglas ou dans un cadre pour que rien ne puisse être collé directement dessus.
- Ajoutez le nom de votre commerce et une courte mention près du code, comme « Payez uniquement à : Nom de votre boutique ». Les clients savent alors à quoi s'attendre.
- Gardez les codes à la vue du personnel. Un code au comptoir est bien plus difficile à falsifier qu'un code sur un panneau extérieur sans surveillance.
- Évitez les codes en double. Plus vous affichez de codes, plus vous avez de vérifications à faire.
Utilisez des liens dynamiques que vous pouvez surveiller
Un QR code dynamique pointe vers un lien court qui redirige vers votre page. Cela vous donne un contrôle précieux :
- Vous pouvez changer la destination à tout moment sans réimprimer, ce qui aide si votre site déménage ou si une page est compromise.
- Les statistiques de scan révèlent les tendances normales. Une chute soudaine des scans à un endroit peut signifier que le code y a été recouvert par un faux.
- Les liens courts de marque sont reconnaissables. Les clients peuvent vérifier que le lien correspond à ce qu'ils attendent.
Sur QR-TH, les codes dynamiques utilisent un lien court qr-th.com/r/, et chaque lien est vérifié auprès de Google Safe Browsing puis revérifié chaque nuit. Les visiteurs peuvent aussi voir une page de chargement qui indique où mène un lien avant qu'il ne s'ouvre. Ces fonctions n'empêchent pas quelqu'un de coller un faux autocollant sur votre affiche, mais elles vous aident à repérer les problèmes et à garder vos propres liens sains.
Les QR codes de paiement demandent une attention particulière
Les codes de paiement sont la cible la plus attrayante, car un échange réussi envoie l'argent directement au fraudeur.
- Invitez vos clients à vérifier le nom du bénéficiaire dans leur application bancaire avant de confirmer, et indiquez-le sur l'affiche.
- Si possible, affichez un QR code de paiement dynamique sur un écran ou un terminal plutôt qu'un autocollant imprimé fixe.
- Si vous utilisez un QR code PromptPay imprimé, vérifiez-le chaque jour et gardez-le près de la caisse.
- Si un client signale avoir payé un autre nom, cessez immédiatement d'utiliser ce code et contactez votre banque.
Notre guide sur le paiement par QR code en toute sécurité explique ce que les clients doivent vérifier avant de payer.
Que faire si vous trouvez un faux code
- Retirez le faux autocollant et conservez-le. Prenez des photos avant et après.
- Vérifiez immédiatement tous vos autres codes, car plusieurs ont pu être remplacés.
- Affichez un court avis pour les clients qui ont pu le scanner, en expliquant à quoi faire attention.
- Signalez l'incident à la police et, pour les codes de paiement, à votre banque.
- Remplacez le code par une nouvelle impression et réfléchissez à son emplacement.
FAQ
Comment savoir si un autocollant QR code est faux ?
Cherchez des bords en relief, une taille ou une finition différente, et tout ce qui est posé sur l'original. Scannez-le ensuite et vérifiez que la destination ou le nom du bénéficiaire correspond bien à votre entreprise.
Un QR code dynamique empêche-t-il la falsification ?
Non. Un autocollant peut être posé sur n'importe quel code imprimé. Un code dynamique vous aide à surveiller les scans et à changer rapidement de destination, ce qui rend les problèmes plus faciles à détecter et à corriger.
À quelle fréquence vérifier mes QR codes ?
Les codes situés dans des zones publiques ou très fréquentées gagnent à être vérifiés chaque jour, idéalement à l'ouverture. Ceux placés dans des zones réservées au personnel ou surveillées peuvent l'être moins souvent.
Que doivent vérifier les clients avant de payer par QR code ?
Ils doivent s'assurer que le nom du bénéficiaire et le montant affichés dans leur application bancaire correspondent au commerce avant d'approuver le paiement.
Protéger ses QR codes imprimés, c'est surtout une question de routine : savoir où se trouvent vos codes, les vérifier souvent et rendre les faux faciles à repérer. Créez des codes dynamiques mesurables avec le générateur de QR code gratuit de QR-TH, et servez-vous des statistiques de scan pour garder un œil sur chaque emplacement.