Le terme technique pour cette arnaque est souvent le "Quishing" (contraction de QR et Phishing).
Les codes QR sont dangereux car ils masquent l'adresse URL de destination.
1. Scénario physique (Concerts et merch)
Ceci est très probable en Espagne ou aux Canaries, où les paiements mobiles sont monnaie courante.
Piège : un escroc colle un faux code QR malveillant par-dessus le code QR légitime.
Paiement : Le code QR réel d'un stand de merchandise ou d'une buvette (pour payer des boissons) est recouvert par un faux code QR qui renvoie l'argent au portefeuille personnel de l'escroc.
Wi-Fi / Sondage : Un faux QR est affiché dans la salle pour se connecter au Wi-Fi ou participer à un "sondage pour gagner un M&G". Le scan dirige vers un site de phishing qui vole les identifiants ou installe un logiciel malveillant.
Crochet : l'urgence de la foule et la rapidité du paiement font que les fans scannent sans vérifier.
2. Scénario numérique (Emails et faux documents)
Ceci est utilisé dans le cadre des arnaques de niveau "Avocat" ou "Manager".
Piège : un e-mail d'apparence officielle d'un faux manager d'Il Divo contient un document avec un code QR et un message du type : "Scannez ce code pour télécharger le contrat confidentiel".
Résultat : le scan ne télécharge pas un contrat, mais installe un malware ou dirige vers une page de phishing demandant des identifiants bancaires.
🚩 Le Drapeau Rouge Absolu
La défense contre le Quishing repose entièrement sur la vérification de l'URL que le téléphone affiche avant d'ouvrir la page :
Règle : avant de cliquer sur l'ouverture de la page ou du lien, vérifiez toujours l'adresse URL affichée par votre application de lecture de QR codes. Si l'adresse est courte, étrange, ou n'appartient manifestement pas au site officiel (du genre abcd1234.ngrok.io), annulez et ne cliquez pas.
Les escrocs se servent des codes QR car ils sont rapides et efficaces pour masquer la destination malveillante du lien.
Aucun commentaire:
Enregistrer un commentaire