Vous branchez votre voiture électrique, vous scannez le QR code de la borne pour payer, et sans le savoir vous livrez votre carte bancaire à un escroc. Voilà le piège tendu pendant des mois dans des parkings lyonnais, jusqu'à l'arrestation d'un homme de 27 ans surpris en plein collage.
Une sortie de parking bloquée
Tout bascule un jeudi soir de mi-août, vers 22 heures, dans le parking LPA des Célestins au cœur de Lyon. Deux agents de sécurité coincent la voiture du suspect à la sortie et l'interpellent alors qu'il vient de maquiller au moins quatre bornes de recharge. Le procédé fait presque sourire tellement il est artisanal, un petit sticker imprimé collé par-dessus le vrai QR code de la borne, et le tour est joué. L'automobiliste qui le scanne pour payer sa recharge tombe sur un faux site, réplique de la vraie plateforme, qui siphonne au passage ses coordonnées bancaires. Un seul détail trahissait la manœuvre, l'adresse ne se terminait pas par un point fr mais par un discret .site que personne ne regarde.
Un vidéaste qui cherchait de l'argent facile
Placé en garde à vue, le bonhomme, un vidéaste de Caluire qui gagne pourtant bien sa vie, a fini par reconnaître qu'il arrondissait ses fins de mois de cette façon depuis novembre ou décembre, via un compte ouvert sous un faux nom, sur lequel ont déjà refait surface plusieurs milliers d'euros de transactions douteuses. Et ce n'était pas un coup d'essai. Les enquêteurs le soupçonnent d'avoir déjà frappé aux Célestins en mars, puis dans le parking Saint-Antoine en mai, deux affaires classées qui se sont soudain rattachées à la sienne. Il sera jugé à la mi-février en reconnaissance préalable de culpabilité, notre plaider-coupable à la française, et il est ressorti libre du commissariat.
Le quishing
La technique porte un nom, le quishing, contraction de QR code et de phishing, cette bonne vieille pêche aux données qu'on connaissait surtout par mail. Le principe ne change pas, sauf que le clic piégé cède la place à un scan qui inspire spontanément plus confiance. Les arnaqueurs l'ont d'abord testé sur les horodateurs et avec de faux avis d'amende glissés sous les essuie-glaces, au point que la gendarmerie du Rhône et pas mal de spécialistes de la cybersécurité alertent depuis des mois. Les bornes de recharge, encore récentes dans nos habitudes, offrent le terrain rêvé, puisque quasiment personne ne sait à quoi ressemble la vraie page de paiement d'un opérateur.
On en dit quoi ?
C'est une arnaque toute bête, et c'est justement pour ça qu'elle fait mal, parce qu'elle exploite un geste devenu machinal, ce scan qu'on lance sans réfléchir comme on cliquait sur un lien il y a dix ans. Rien ne distingue à l'œil un faux autocollant d'un vrai, alors le seul vrai réflexe qui sauve reste de jeter un œil à l'adresse du site avant de taper quoi que ce soit, ou de passer directement par l'appli du réseau de recharge.
