Bornes de recharge : des QR codes frauduleux piègent les automobilistes

Tu te gares, tu branches, tu sors ton téléphone. Et là, le QR code sur la borne te promet un paiement rapide. Sauf que depuis quelques mois, des escrocs ont trouvé un truc bête comme chou: coller leur propre QR code par-dessus le vrai. Tu scannes, tu arrives sur une page de paiement qui ressemble à l’originale, tu tapes ta carte… et tu viens de nourrir une caisse noire.

Cette arnaque a un nom: le quishing, contraction de QR code et phishing. Elle vise surtout les conducteurs de voitures électriques, parce que le QR code est devenu un passage quasi obligé sur pas mal de bornes publiques. Des cas ont été signalés chez des touristes en Écosse et en Norvège. Et le pire, c’est que la méthode est rustique, mais redoutablement efficace.

Le piège du QR collé sur la borne

Le scénario est toujours le même. Tu arrives sur une borne en libre-service, tu vois un QR code, tu scannes pour lancer la session ou payer. Sauf que le QR a été remplacé, parfois juste avec un autocollant posé proprement. Résultat: tu n’atterris pas sur le site de l’opérateur, mais sur un faux site, copie quasi parfaite, avec logo et mise en page qui rassurent.

Le truc, c’est que le QR code donne une impression de « canal officiel ». Pendant le Covid, on s’est habitués à scanner pour tout: menus, parkings, paiements. Et créer un QR code, c’est gratuit, rapide, à la portée de n’importe qui. Du coup, les fraudeurs n’ont pas besoin de pirater la borne: ils piratent ton geste, ton réflexe, ton manque de temps.

Et quand tu es en recharge, tu es rarement dans les meilleures conditions pour réfléchir. Il pleut, tu es sur une aire que tu ne connais pas, tu as 3% de batterie, tu veux repartir vite. Marc, conducteur d’une compacte électrique en région parisienne, me disait: « J’ai scanné, j’ai vu une page de paiement nickel, j’ai entré ma carte. Après coup, j’ai tilté sur l’adresse du site, bizarre, trop longue. » Le mal était fait.

Pourquoi les conducteurs électriques sont une cible facile

Une station-service, tu passes ta carte sur un terminal physique, tu vois l’enseigne, tu as des repères. Sur une borne, c’est souvent une expérience 100% smartphone, parfois avec des opérateurs différents selon la ville ou le parking. Et cette dépendance au web ouvre une porte: si le site est faux, tu donnes toi-même tes coordonnées bancaires. C’est du phishing, mais emballé en « service pratique ».

Le quishing ne se limite pas aux bornes. On a vu la même logique avec de fausses contraventions qui intègrent un QR code pour « payer l’amende ». Sauf que sur la recharge électrique, le terrain est idéal: des bornes en extérieur, accessibles à tous, des autocollants faciles à poser, et des utilisateurs qui scannent sans se poser mille questions. Les cybercriminels misent sur la répétition et sur le volume.

Il y a aussi un angle mort dont on parle moins: certaines stations proposent du Wi-Fi public. Pratique, oui, mais pas réputé pour sa sécurité. Si tu te connectes à un réseau ouvert et que tu fais un paiement derrière, tu multiplies les risques. Et le secteur a déjà été secoué par des fuites de données, avec plus de 100 000 informations retrouvées sur le dark web selon des alertes relayées dans l’écosystème cybersécurité. Ça donne une idée de l’appétit autour de ce marché.

Les 6 réflexes concrets pour éviter de te faire plumer

Premier réflexe: regarde le QR code avant de scanner. Un autocollant posé de travers, une surcouche, une texture différente, un coin qui se décolle, ça doit te mettre la puce à l’oreille. Deuxième réflexe: après scan, vérifie l’adresse du site avant de saisir quoi que ce soit. Un nom de domaine étrange, des tirets à rallonge, une extension inattendue, tu fermes. Oui, c’est basique, mais c’est là que ça se joue.

Troisième réflexe: privilégie l’appli officielle de l’opérateur ou un moyen de paiement que tu connais déjà, plutôt que de passer par « le QR du moment ». Quatrième: évite le Wi-Fi public de la station, utilise ton forfait mobile si tu peux, ou un VPN si tu es du genre équipé. Cinquième: active un antivirus mobile avec protection anti-phishing, parce que certaines solutions savent bloquer l’accès à des pages connues comme malveillantes, même ouvertes via un QR.

Sixième, et c’est la nuance que personne n’aime entendre: le risque zéro n’existe pas. Les faux sites peuvent être très bien faits, et un conducteur pressé peut se faire avoir même en étant prudent. Du coup, il y a un boulot côté opérateurs et collectivités: sécuriser l’affichage, renouveler les stickers, signaler clairement les canaux officiels, et faire de la prévention sur place. Parce que tant qu’on laissera la recharge reposer sur « scanne et crois », les escrocs auront un boulevard.