Les concerts d'Il Divo en Espagne approchant, j'imagine déjà la joie les fans qui auront la chance de les voir. Ceci dit, le but principal de ce blog reste de vous informer le plus clairement possible des risques potentiels d'arnaque autour de ces concerts. Un autre type d'arnaque potentielle que j'ai découvert il y a peu est ce qu'on appelle "Quishing" .
Les QR codes frauduleux, appelés aussi quishing (QR + phishing), sont une technique d’arnaque de plus en plus répandue : ils redirigent vers des sites malveillants ou déclenchent le téléchargement de logiciels espions. Les escrocs les utilisent dans les lieux publics, les emails, ou même lors d’événements comme des concerts.
🔍 La vérification préventive (Devoir du fan)
Les salles de concert modernes, surtout en Europe, communiquent généralement de manière très claire sur leurs infrastructures.
Voici ce que les fans devraient rechercher sur les sites web officiels des salles en Espagne et aux Canaries :
| Ce qu'il faut vérifier | Utilité contre l'arnaque |
| "Infos Pratiques" / "FAQ" | Découvrir si la salle est entièrement "Cashless" (paiement uniquement par carte ou téléphone) et si les commandes de nourriture et boissons se font exclusivement par application ou code QR officiel. |
| Paiement (Modes acceptés) | Si le site mentionne "Paiement par Bizum uniquement" ou "Paiement par PayPal sur le stand Merch", cela établit les canaux légitimes. Toute autre demande de paiement est suspecte. |
| Services (Wi-Fi, app dédiée) | Si la salle a une application mobile dédiée ou un Wi-Fi invité. L'usurpateur tentera de faire croire que son faux code QR est celui de cette application ou de ce service. |
En se renseignant, le fan établit une "ligne de base de normalité". Si un code QR apparaît à l'extérieur de cette normalité établie par le site officiel (ex: un code QR pour une donation alors que le site n'en parle jamais), le drapeau rouge est immédiatement levé.
Les fans se rendant aux concerts sont des cibles de choix pour le Quishing, car l'environnement du concert coche toutes les cases recherchées par les fraudeurs :
Urgence : on ne veut pas rater la prochaine chanson en cherchant le bon Wi-Fi ou en faisant la queue à la buvette.
Distraction : la foule, la musique et l'excitation diminuent la vigilance.
Confiance : le fan est dans une bulle de confiance liée à l'événement officiel.
Le code QR est l'outil parfait pour transformer cette urgence et cette confiance en une fraude rapide, car il supprime l'étape de la vérification de l'adresse par la victime.
🎫 Rôle du code QR sur le billet
Le code QR sur le billet est essentiel : c'est votre preuve d'achat unique qui sera scannée à l'entrée pour valider la légitimité du billet et vous donner accès à la salle.
Risque d'usurpation
Le risque lié aux codes QR ne vient donc pas du code de votre vrai billet (qui est nécessaire), mais des codes QR malveillants collés ou affichés dans l'environnement du concert :
Scénario du "Faux billet" : l'arnaqueur vend un faux billet. Ce faux billet aura un code QR qui ne fonctionnera pas ou qui est une simple image sans valeur (ce qui ne relève pas du Quishing, mais de la simple fraude au billet).
Scénario du Quishing : l'arnaqueur ne veut pas de votre billet. Il veut que vous scanniez un code à un autre endroit (buvette, Wi-Fi) pour vous voler de l'argent ou des données.
Zones de haute vulnérabilité
Cette appellation fait référence aux endroits où les fans sont le plus susceptibles de baisser leur garde face à un code QR. En effet, dans le contexte des grandes salles de concert en Espagne et aux Canaries, voici les endroits précis où les usurpateurs chercheront à déployer des faux codes $\text{QR}$ :
1. 🍔 Points de vente (Restauration et boissons)
C'est la zone la plus probable pour le Quishing de paiement.
Scénario de fraude : le fraudeur colle un faux code QR de paiement sur le vrai code utilisé par le vendeur (pour Bizum, PayPal, ou un système de caisse).
Où regarder : les comptoirs de la buvette, les tables des zones VIP (où les menus sont souvent scannables), ou les machines de vente automatique.
2. 🛍️ Stands de 'Merchandise' (Produits dérivés)
Scénario de fraude : un code QR est affiché pour "rejoindre la liste d'e-mail pour obtenir des réductions" ou pour "payer rapidement" des produits.
Où regarder : directement sur la table du stand, ou sur des affiches à proximité pour le paiement sans contact. Le faux code peut diriger vers une page de phishing pour voler les informations de carte bancaire.
3. 🌐 Zones de connectivité et d'information
Scénario de fraude : un code QR est affiché pour se connecter au Wi-Fi de la salle ou pour obtenir le plan de la salle. Le scan mène à une fausse page de connexion qui vole les identifiants ou installe un malware.
Où regarder : les tableaux d'affichage, les murs à côté des entrées, ou dans les zones de repos.
4. 🎟️ Contrôle des billets
Scénario de fraude : bien que les scanners officiels soient sécurisés, des fraudeurs peuvent se faire passer pour des employés, demandant de scanner un QR code "supplémentaire" pour une vérification anti-fraude ou pour une "mise à niveau" (upgrade VIP).
Où regarder : dans les files d'attente à l'entrée. Le fan doit n'utiliser que les scanners officiels gérés par le personnel identifié de la salle.
🔍 Comment fonctionnent les QR codes frauduleux
Principe : un QR code est généré en ligne puis collé ou diffusé sur un support (affiche, flyer, email).
Redirection : au lieu de mener vers une ressource fiable, il envoie vers un site de phishing ou une fausse application.
Objectif : voler des données bancaires, installer un malware, ou pirater des comptes.
⚠️ Exemples fréquents
Collage d’un QR code frauduleux sur un parcmètre ou un distributeur de billets.
Distribution de tracts ou coupons avec QR falsifiés.
Campagnes de phishing par email ou SMS avec QR intégré.
QR codes sur des flyers de concerts ou événements, menant à de faux sites de billetterie.
🧩 Signaux d’alerte
Contexte étrange : QR code posé sans explication, mal aligné, ou collé sur une affiche existante.
Support modifié : traces de colle ou superposition suspecte.
Lien douteux : URL abrégée ou incohérente avec l’organisation annoncée.
Demande immédiate d’infos sensibles (identifiants, données bancaires).
🛡️ Comment se protéger
Prévisualiser l’URL avant de cliquer (certaines applis affichent le lien).
Ne jamais entrer d’infos sensibles après un scan.
Scanner uniquement les QR codes officiels (billetterie, affiche validée).
En cas de doute, s’abstenir de scanner.