SN
CEMAC
Une nouvelle forme d'escroquerie financière vise à détourner les paiements électroniques des clients au détriment des vendeurs. Selon des professionnels des risques informatiques, des cas de fraude par substitution de QR code ont été signalés en Côte d'Ivoire.
L'alerte prend une actualité particulière alors qu'une vidéo explicative, probablement d'origine asiatique, montrant le mode opératoire des délinquants circule sur les réseaux sociaux. Afin de préserver la sécurité des transactions quotidiennes et de sensibiliser les acteurs économiques, Sika finance s'est penché sur cette menace.
Une arnaque simple, baptisée ‘'quishing''
‘'On parle de quishing, contraction de QR et phishing. Dans le cas précis, il s'agit d'un QR code collé par-dessus le vrai. On parle aussi de QR code swapping, de QR code overlay ou, en français, de fraude par substitution de QR code'', explique un professionnel des risques informatiques.
Techniquement, le mode opératoire reste élémentaire. Les malfrats impriment des étiquettes autocollantes qu'ils apposent sur les supports de paiement légitimes. Ils se rendent ensuite dans de petits commerces de rue et collent discrètement, ou remplacent, ces faux QR codes par-dessus ceux des marchands, souvent en profitant d'un moment d'inattention ou en distrayant le commerçant, par exemple lors d'un appel téléphonique.
Lorsque les clients scannent le QR code affiché pour régler leurs achats, l'argent est directement versé sur le compte des escrocs, au lieu d'être crédité au commerçant. Ce type de manipulation, qui consiste à recouvrir un code authentique par une étiquette frauduleuse, est documenté comme l'une des principales formes de fraude liée aux paiements par QR code.
Un responsable des risques informatiques confirme la réalité du phénomène sur le terrain : ‘'plusieurs personnes en ont été victimes à Abidjan et dans l'intérieur du pays.''
Une faille d'abord physique
Pour les spécialistes, la vulnérabilité ne réside pas principalement dans la technologie de paiement, mais dans la gestion de l'espace de vente et la surveillance des supports affichés. Les codes statiques imprimés et laissés sans contrôle peuvent être remplacés, ce qui crée une opportunité pour les fraudeurs.
‘'Cela relève plutôt de la sécurité physique, au même titre que le contrôle d'accès requis pour nos locaux et nos salles serveurs. L'exposition sans surveillance des étiquettes crée l'opportunité. C'est très simple : ne pas afficher son QR code dans une zone hors de notre contrôle. Ajouter une couche de sécurité au paiement par QR code rallongerait le processus, alors que c'est cette facilité et cette simplicité qui ont favorisé le succès du paiement par QR code'', analyse un professionnel de la sécurité informatique.
Des pertes immédiates pour les victimes
Les conséquences sont directes : le client paie, mais le commerçant ne reçoit rien. Les fonds sont transférés sur le compte de l'escroc, tandis que l'acheteur perd son argent sans que sa facture réelle soit honorée.
Le risque est d'autant plus élevé qu'une fois la transaction validée, il est généralement difficile de récupérer les fonds. Les recommandations internationales insistent ainsi sur la nécessité de vérifier l'identité du bénéficiaire avant le paiement et de confirmer la réception effective des fonds avant la remise du bien ou du service.
Verrouiller les transactions
Pour prévenir ces risques, les dispositifs de protection doivent être adaptés au niveau d'intégration du paiement dans l'activité du commerçant. Pour les cas non intégrés, un spécialiste recommande de disposer d'un compte marchand, d'un compte ordinaire et d'un terminal confié à la caissière. Ce dernier reporte instantanément les paiements sur le compte marchand : la transaction n'est validée que lorsque la caissière en reçoit la confirmation.
Pour les structures disposant de systèmes plus élaborés, le contrôle doit être automatisé. Lorsque le système de paiement est interconnecté avec celui du commerçant, un mécanisme de validation (token de transaction ou identifiant unique) doit authentifier chaque opération avant sa prise en compte par la caissière. Sans ces dispositifs, alerte le spécialiste, le risque de fraude et de quishing reste élevé.
Par ailleurs, ces mesures rejoignent les bonnes pratiques recommandées aux commerçants : inspection régulière des QR codes, confirmation des paiements via un tableau de bord marchand ou une notification officielle, et remise des marchandises uniquement après réception d'une confirmation de paiement.
Scannez, vérifiez et payez
Des actions préventives simples peuvent également réduire l'exposition au risque. Un expert en protection des données préconise un contrôle physique régulier du QR code affiché, tandis qu'un autre spécialiste propose l'installation d'une grille de protection empêchant l'apposition d'un autre code sans entraver sa lecture.
L'inspection quotidienne des supports, l'usage de protections inviolables et la formation du personnel permettent de détecter rapidement une étiquette frauduleuse ou un remplacement non autorisé.
Du côté des consommateurs, la vigilance s'impose avant toute validation. Un expert résume d'ailleurs ce changement de réflexe : ‘'Au lieu de dire scannez et payez, il faut plutôt dire : scannez, vérifiez, payez''. Concrètement, après le scan du code, il convient de vérifier l'identité du commerçant et de ne jamais confirmer un paiement sans cette étape préalable.
Le défi du commerce de proximité
Cependant, l'application rigoureuse de ces mesures se heurte à la réalité du secteur informel. Chez les petits commerçants, vendeuses au coin de la rue, boulangers ou tenanciers de buvettes, communément appelés ‘'maquis'' en Côte d'Ivoire, il n'existe souvent ni caissière ni terminal de paiement. Le téléphone relié au compte de réception peut se trouver hors du lieu de vente ou entre les mains d'un propriétaire momentanément absent. Le commerçant vérifie alors le paiement directement sur l'écran du téléphone du client. Une pratique qui fragilise l'expérience client et laisse la porte ouverte aux manipulations.
Anselme Akéko
Publié le 19/10/26 11:02
La Rédaction