Vérifiez votre QR Code pour éviter les arnaques et les piratages

 Vérifiez votre QR Code pour éviter les arnaques et les piratages

Vérifiez bien ce détail quand vous scannez un QR Code pour éviter les arnaques et les piratages

Par: Fabrice Brochain

01/05/24 06:44

S'ils sont bien pratiques au quotidien, les QR Codes peuvent aussi recéler de grands dangers. Voici ce qu'il faut vérifier pour ne pas vous faire piéger.

Les QR Codes ont envahi notre quotidien. Emballages divers, publicités, produits alimentaires ou non, restaurants, hôtels, zones proposant un réseau WiFi public… on en retrouve partout. Ils sont en effet bien pratiques pour donner accès à plus d'informations sur un produit ou un service ou pour que votre smartphone se connecte automatiquement à un réseau Wi-Fi sans n'avoir le moindre mot de passe compliqué à saisir. Il suffit de braquer la caméra du mobile dessus pour afficher la page correspondante ou lancer une appli. Et c'est justement cet aspect ultra simple qui peut faire courir un risque à vos données personnelles.

Un QR Code n'est en réalité rien d'autre qu'un raccourci graphique compréhensible par le logiciel de votre appareil photo. Il dissimule généralement une adresse Internet mais peut aussi comporter les informations nécessaires pour télécharger un fichier ou connecter automatiquement le mobile à un réseau Wi-Fi. Et lorsque vous scannez un QR Code, peu d'informations s'affichent à l'écran. En général, s'il s'agit d'un site Web, seul le début de l'adresse (l'URL) se présente en clair et il ne reste alors qu'à appuyer dessus pour accéder au site. Néanmoins, un geste supplémentaire peut vous empêcher de commettre une erreur en vous connectant à un site louche et éviter de télécharger des virus.

Aussi, mieux vaut ne pas appuyer directement sur l'adresse affichée après avoir scanné un QR Code. Sur Android, pressez la petite flèche pointant vers le haut au bout de l'adresse. Sur iPhone, appuyez sur l'icône en forme de QR Code à droite de l'adresse. L'écran affichera l'URL complète du site vers lequel le QR Code va vous rediriger. Vous pourrez alors vérifier qu'il ne s'agit pas d'une adresse étrange et dans le doute la copier et la soumettre à un service de vérification comme VirusTotal qui vous signifiera s'il s'agit par exemple d'une tentative de phishing ou d'arnaque.

Méfiez-vous également des QR Codes vous permettant de vous connecter automatiquement à un réseau Wi-Fi public. Rien ne dit que ce réseau mis gratuitement à disposition n'est pas l'œuvre d'un pirate avide de siphonner les données de votre smartphone. Et là, malheureusement, aucune vérification n'est possible… sauf à demander au propriétaire des lieux s'il est bien à l'origine de ce réseau Wi-Fi.

REF.: https://www.commentcamarche.net/securite/arnaque/30741-qr-code-danger/#utm_source=facebook&utm_medium=social

Codes QR malveillants, les antivirus ne peuvent pas les détecter

 Codes QR malveillants, les antivirus ne peuvent pas les détecter

Méfiez vous des codes QR !

Publié le 13 octobre 2023 à 08:00Par Sami TrabchaPhoto Qr Code Oeuvre d'art© Unsplash / Mitya Ivanov

Les codes QR ont vu le jour au Japon en 1997, et ils ont commencé à se répandre dans le monde à partir des années 2000. Leur démocratisation n’a cependant pas été fulgurante, mais les codes QR se font depuis 20 ans une place dans notre société, en tant que vecteurs informationnels du quotidien. Les iPhone sont d’ailleurs capables de les scanner nativement depuis iOS 11, il fallait avant ça utiliser une application tierce.

On en trouve, par exemple, dans les restaurants ou sur des flyers. Leur but est de simplifier l’accès à un contenu, comme un menu, ou le programme d’un événement. Cela sans qu’il n’y ait besoin d’entrer manuellement l’adresse de la page internet. Les codes QR peuvent également être utiles pour se connecter à une application, sur un nouvel appareil, sans avoir besoin de saisir ses identifiants. En somme, les codes QR sont très utiles et offrent un gain de temps appréciable dans certaines situations. Il est cependant désormais nécessaire de rester sur ses gardes quant à leur utilisation.

Deux campagnes de phishing avec codes QR viennent d’être identifiées

Les chercheurs en cybersécurité de la plateforme Trellix ont publié un compte rendu le 10 octobre. Dans ce dernier, ils recensent deux campagnes de piratage de type phishing, qu’ils ont découvertes il y a peu. La première campagne cible les utilisateurs de produits Microsoft, et la deuxième vise des internautes qui résident en Chine.

La nature des deux attaques est similaire, les victimes reçoivent un e-mail qui, à première vue, a l’air fiable. Celui envoyé aux utilisateurs Microsoft est une alerte de sécurité qui, soi-disant, vient de Microsoft. Et ils sont invités à régulariser la situation en scannant un code QR. Les utilisateurs chinois ont reçu le même genre de courriel, mais cette fois-ci l’objet était « subventions du gouvernement chinois ». Les personnes ciblées étaient également invitées à scanner le code QR afin de pouvoir demander ces subventions.

Une forte augmentation de la dangerosité des attaques par codes QR

Lorsque les personnes ont scanné le code, elles sont invitées à entrer des informations confidentielles sur la page cible. Dans le cas de l’attaque Microsoft, la personne va être invitée à entrer ses identifiants qui lui seront ensuite dérobés. Pour l’attaque qui vise les résidents chinois, ils vont être redirigés vers une page qui leur demande de saisir leur numéro de carte bancaire.

Ce genre d’attaque est redoutable, car les pirates utilisent plusieurs techniques afin d’outrepasser les antivirus. Le fait de ne pas utiliser de lien textuel dans les e-mails frauduleux les rend indétectables par les antivirus. Une autre technique que les pirates utilisent consiste à renvoyer les victimes vers un CAPTCHA, avant qu’elles n’atterrissent sur la page de phishing. En effet, lorsque la victime scanne le code QR frauduleux, elle doit effectuer un clic spécifique pour, soi-disant, prouver qu’elle est un être humain. Ce CAPTCHA est factice et sert en réalité uniquement à perturber les outils de détection d’adresses URL.

Comment se protéger ?

Pour se protéger des attaques par codes QR, il est important de suivre quelques conseils :

Ne scannez pas les codes QR provenant d’e-mails ou de messages douteux.

Vérifiez toujours l’adresse URL de la page cible avant de saisir des informations confidentielles.

Soyez vigilants face aux CAPTCHA factices.

REF.: https://www.iphon.fr/post/qr-code-malveaillant-phishing-attaque-indetectables-par-antivirus

 

 

Arnaque au QR Code : une nouvelle technique inquiétante

 

• Sécurité
• Arnaque
• Fiches
• Guide arnaque

  Maurine Briantais 20/07/22 17:22

La popularité du QR Code a inspiré les escrocs, qui utilisent le fameux code graphique pour entraîner leurs victimes vers des sites malveillants. La prudence s'impose pour éviter de tomber dans ce nouveau piège, très à la mode.

Longtemps réservé à quelques initiés, le QR Code a sensiblement gagné en popularité ces dernières années, notamment depuis l'apparition de la Covid-19, où il a été utilisé pour le fameux pass sanitaire, mais aussi sur les tables des restaurants, pour éviter que les clients touchent les cartes de menu, par exemple. Plus largement, ce code graphique numérique est largement utilisé désormais pour obtenir un code Wi-Fi, pour télécharger directement une application ou pour envoyer vers un site Web. Une démocratisation d'autant plus rapide que ce système est très simple d'utilisation, puisque tout se fait automatiquement, de façon transparente, sans manipulation complexe. 

Malheureusement, comme à chaque fois qu'une nouvelle technologie gagne en popularité, les pirates s'en emparent. En effet, les victimes ne connaissant pas encore très bien le fonctionnement de ce système, il est plus facile de les leurrer. C'est pour ces raisons que des experts en cybersécurité alertent sur la multiplication de QR Codes frauduleux, capables de voler les données des utilisateurs ou d'installer un logiciel malveillant sur leurs appareils, comme Len Noe, chercheur en cybersécurité chez CyberArk, le raconte dans Le Parisien.

QR Code : un nouvelle technique d'hameçonnage peu connue

Le principe du QR Code est simple. Grâce à l'appareil photo ou une application de scan sur un smartphone, il renvoie l'utilisateur vers une page internet ou une application. Or il suffit simplement de coller un autocollant – sur un menu, une affiche ou un flyer, par exemple – pour que des milliers de personnes se fassent avoir sans s'en rendre compte. En le scannant, les victimes sont soit amenées à télécharger une application contenant un malware, soit redirigées vers une page ressemblant à l'original et qui va, d'une façon ou d'une autre, les inviter à rentrer leurs données personnelles et/ou bancaires.

Les campagnes de phishing sont de plus en plus ingénieuses, et il est plutôt difficile de déceler un faux QR Code, bien que certains détails puissent mettre la puce à l'oreille, comme un autocollant en surcouche ou une adresse Internet qui ne correspondrait pas. En plus, il est très facile, grâce à des sites internet, de générer rapidement un QR Code pour une adresse URL. "Il a fallu des années pour sensibiliser les gens à ne pas cliquer sur un lien douteux envoyé par e-mail, il faut tout recommencer avec ces QR Codes qui sont des campagnes d'hameçonnage sous une nouvelle forme physique", déplore un chercheur en cybersécurité au Parisien.

 

QR Code : une arnaque qui visent les touristes

Les faux QR Codes sont redoutables car, comme l'explique le spécialiste, "la cyberattaque passe par l'appareil photo et contourne ainsi les antivirus et les filtres de sécurité." Ce type de fraude a déjà été détecté en Asie, en Allemagne et aux États-Unis, ce qui a conduit le FBI à lancer des alertes. Il s'agit d'une cybercriminalité de proximité qui vise surtout des sites touristiques. Mais pas seulement.

Au Texas, dans la ville d'Austin, des automobilistes ont été victimes de phishing via des QR Codes collés sur des parcmètres. Mais au lieu d'être redirigés vers le site Web ou l'application officielle de la ville pour régler leur stationnement, les automobilistes ont atterri sur un faux site qui recueillait les informations relatives à leur carte de crédit. Une arnaque similaire a été recensée dans la ville de San Antonio. Ces QR Codes commencent également à apparaître dans des courriels de phishing et des publicités en ligne. Un moyen qui peut paraître étrange puisque pourquoi nous rediriger vers un site internet, alors que nous y sommes déjà ? Tout simplement parce qu'ils ne sont souvent pas détectés par les logiciels de sécurité, ce qui leur donne plus de chances d'atteindre leurs cibles que les pièces jointes ou les liens dangereux. En plus, il est beaucoup plus rapide d'envoyer des milliers d'e-mails frauduleux que d'aller coller des QR Codes en ville.

Il faudra rester vigilant durant ces vacances, que ce soit en France ou à l'étranger. Bien qu'aucune victime n'ait été recensée en France, le site cybermalveillance.gouv.fr se tient à l'affût, surtout pendant les vacances d'été. Par précaution, il est recommandé un moteur de recherche ou un VPN lors d'une connexion à un réseau Wi-Fi public. De même, mieux vaut ne pas télécharger d'applications en dehors des stores officiels –le Play Store de Google et l'App Store d'Apple. Il faut garder à l'esprit que de nombreux QR Codes intégrés dans les e-mails sont  frauduleux, et que si un QR Code renvoie vers un site demandant des informations qui ne semblent pas nécessaires, mieux vaut ne pas les transmettre.

 

REF.:  https://www.commentcamarche.net/securite/arnaque/26209-arnaque-au-qr-code-une-nouvelle-technique-inquietante/?mibextid=GwLpAq

 

 

Comment se protéger des faux codes QR qui peuvent mener vers des virus

Êtes-vous sur le point de scanner un code QR qui veut vous rediriger vers une fausse application, un site malveillant ou pire un virus? Retrouvez des trucs pour ne pas tomber dans les pièges que tendent des pirates informatiques.

Les codes QR sont de plus en plus utilisés par des sites, des entreprises et même par les gouvernements.

Que ce soit un billet de spectacle, un portefeuille de cryptomonnaie, un lien vers un site ou bien la fameuse preuve vaccinale du gouvernement du Québec, les codes QR sont utilisés à toutes les sauces.

Bien que pratiques et simples à utiliser, ils peuvent être utilisés à mauvais escient par des pirates informatiques.

Il est extrêmement simple d’en créer, alors que le navigateur Google Chrome par exemple nous permet de le faire en 2 sec à l’aide d’un clic droit sur une page. C’est sans compter tous les sites qui permettent d’en créer en deux temps trois mouvements.

Cette grande simplicité comporte des risques. L’entreprise d’antivirus Kaspersky a publié un billet de blogue sur le sujet et nous partage ses trucs pour ne pas se faire avoir.

Protégez tous vos appareils des virus avec Kaspersky Total Security

Il est extrêmement simple de créer un code QR, même à partir de Chrome par exemple.

Les actions que peuvent faire un code QR et les risques potentiels

Le principal problème d’un code QR est que c’est visuellement flou. Ce n’est pas aussi clair que de voir un hyperlien douteux sur un site. Ça reste un carré s’apparentant à un code-barre. Qui sait où il va nous envoyer ou quelle action il va déclencher.

Car oui, un code QR peut lancer plusieurs actions, tel que:

• Ouvrir une page web
• Ajouter un contact
• Lancer un appel
• Ouvrir la rédaction d’un courriel
• Envoyer un message texte
• Partager notre localisation
• Télécharger une application
• Ajouter un événement à notre calendrier
• Ajouter un réseau WiFi dans nos paramètres

Vous pouvez déjà vous imaginer les dangers potentiels n'est-ce pas?

On peut donc être redirigé vers un site ou une application malveillante, collecter notre localisation, ou encore nous inscrire à un calendrier qui, lui-même, nous bombarde de notifications malicieuses.

Comment se protéger des faux codes QR et ceux malicieux

Heureusement, il existe des petits trucs simples pour éviter de scanner un code QR frauduleux et malicieux.

D’une part, le site, courriel ou autres plateformes qui affichent le code QR sont-ils crédibles? Tout comme les liens d’hameçonnage dans un courriel, texto ou autres, il faut être vigilant sur la provenance du code QR.

Ensuite, la principale chose à regarder est de savoir où le code QR veut nous rediriger. Cette information est affichée par notre application qui lit le fameux code.

Est-ce un hyperlien qui s’aligne avec le sujet que l’on regarde? Un code QR pour le site d’une pizzeria par exemple nous envoie-t-il vraiment sur leur site? Même chose pour une application.

Si l’hyperlien de redirection est raccourci ou ne s’aligne pas avec le sujet où il est affiché, ceci devrait nous mettre la puce à l’oreille que quelque chose cloche.

Il est super important de regarder où le code QR souhaite nous rediriger.

S’il s’agit d’un code QR sur une affiche physique, ça peut sembler stupide, mais assurez-vous que quelqu’un n’a pas apposé un autocollant par-dessus!

Enfin, Kaspersky offre notamment une application gratuite, Kaspersky’s QR Scanner, pour iOS et Android qui peut nous aider à démasquer les codes QR malicieux.

Protégez-vous des arnaques et fraudes sur le web grâce à fraudeweb.com

Les meilleurs antivirus pour téléphone et tablette Android et iOS d'Apple

 

REF.:

Google Wallet Vs Passbook(Apple ) Vs QR codes ou NFC ?

Google Wallet devrait bientôt arriver sur iOS

La nouvelle version de Google Wallet, le porte-monnaie électronique du géant, ne devrait pas tarder à arriver. Et selon la page d'accueil du service, il sera disponible sur iOS, concurrent d'Android.
Google Wallet, le porte-monnaie électronique déjà utilisé sur plusieurs services de Google et présent comme application sur son système d'exploitation mobile Android, devrait arriver sur iOS à la faveur d'une nouvelle version, rapporte Business Insider, qui a repéré du changement sur la page d'accueil du service.
Le site web de Google Wallet a été mis à jour. La nouvelle version de Google Wallet "arrivera bientôt", et il est d'ores et déjà possible de requérir une invitation. "Nous l'avons fait, et Google nous a demandé quel type d'appareil nous avions," précise Business Insider.
Prise en charge des QRcodes ou approche cloud ?
Parmi les appareils proposés : Android, "autres" et... iPhone. Ce qui fait dire à plusieurs journaux américains que Google Wallet pourrait utiliser un service de paiement en cloud, sans passer par le NFC comme prévu sur Android, pour s'adapter à l'iPhone dépourvu de cette technologie.
Autre hypothèse : l'intégration de Google Wallet dans Passbook, ou la prise en charge des QRcodes. Personne ne sait vraiment en fait, et Google n'a pas communiqué sur les évolutions apportées à la nouvelle version de son service.
Faîtes votre choix ? Mais Google s 'adapte déja a Apple .
Mais le NFC « Near Field Communication »n'est pas accepté encore a grande échelle sur le marché publique et ni par les marchands eux-même !ici Visa/Mastercard n’ont pas pris la peine de chiffrer le protocole utilisé sur ses cartes bancaires, ni même de mettre en place une authentification.Concrètement, cela veut dire qu’avec un simple lecteur NFC, n’importe qui peut dérober toutes les informations du porteur comme la civilité, les nom et prénom, le numéro de carte, sa date d’expiration, et la liste des 20 dernières transactions sur la carte avec leur montant…etcIl est même tout à fait faisable de dupliquer la carte (Yes!) puisque dans la puce NFC, on retrouve les infos de la bande magnétique. Du coup, dans certains pays étrangers, où sur les bornes qui se contente de la bande magnétique, ces copies de cartes peuvent parfaitement fonctionner.cette négligence est due au fait que, je cite : « le protocole (EMV – celui des cartes traditionnelles/(Europay MasterCard Visa)) a été repris tel quel et utilisé ‘dans les airs’ sans se poser plus de questions ».


 On a vu avec VISA : La fonctionnalité Visa payWave (avec puce EMV)qui offre une façon pratique de payer avec votre carte de crédit Visa®. Suffit de passer votre carte Visa payWave à proximité d'un lecteur sécuritaire plutôt que de l'insérer ou de la glisser. L'achat sera alors autorisé ? ........, traité et facturé de la même façon sécuritaire qu'il l'est aujourd'hui. Les cartes et les lecteurs Visa payWave sont identifiés par ce symbole :
et ; On voit déja la carte VISA wifi Flash s'implanter de plus en plus a l'horizon,depuis 2011 avec les banques scotia et RBC.qui propose une carte de débit qui intègrera la technologie Interac Flash. ;-) La technologie Interac Flash, plus besoin de l’insérer dans un terminal ! Il faudra seulement un lecteur compatible à la technologie Flash, qui permettra de déduire le montant de la transaction du compte bancaire ; c’est ce qui lui donne son appellation « sans contact ».


REF.: