« Nous avons pris connaissance de codes QR frauduleux, placés sur les codes QR de certains de nos vélos », avertit Bike Share Toronto, dans un message publié cette semaine sur les réseaux sociaux.

L’organisme ne crie pas au loup. Plusieurs de ces codes-barres quadrangulaires, lisibles par téléphone, ont effectivement été manipulés. Un journaliste de CBC a observé un de ces faux codes QR in situ, collé sur un vélo de Bike Share Toronto au centre-ville, coin Church et Carlton, la semaine dernière.

Depuis, le service rappelle à ses abonnés d’éviter les soucis en utilisant son application officielle Bike Share pour lire les codes QR sur ses vélocipèdes, plutôt que d’utiliser la caméra de leur téléphone.

Peter Leventis a enlevé cinq faux codes QR de vélos en libre-service dans l’est de Toronto. Il les a pris en photo et les a jetés, après avoir averti Bike Share Toronto. Nous avons brouillé les codes QR pour qu’ils ne puissent pas être utilisés.

Photo : Radio-Canada / Avec l’autorisation de Peter Leventis

Utilisateur du service, Peter Leventis a été confronté à cinq faux codes QR sur plusieurs vélos de Bike Share Toronto, près des avenues Coxwell et Danforth, dans l’est de la ville.

J’ai remarqué que le code QR avait l’air un peu différent, avoue-t-il. Ils ne produisaient aucun effet lorsque lus avec l’appli officiel de Bike Share Toronto.

Ça n’avait aucun sens, pendant trois ou quatre minutes, et puis j’ai compris.

La curiosité a mené Peter Leventis à découvrir vers où renvoient ces faux codes : un site louche nommé Direct to App Now, une page douteuse intitulée ParkPay, bref, une invitation à payer pour un stationnement avec des informations personnelles et un numéro de carte de crédit. Rien à voir avec la procédure de déverrouillage habituelle de Bike Share Toronto.

Les codes QR frauduleux se répandent

Le directeur du service de vélopartage, Mathew Varsava, précise que c’est la première fois qu’un tel stratagème frauduleux est employé sur ses biclous.

Il observe que, dans le passé, lorsque des codes QR autocollants ont été placés sur les vélos de Bike Share, ça amenait généralement vers une liste de lecture musicale sur Spotify.

Manipuler les codes QR à des fins de tromperie n’a pourtant rien de nouveau. À Ottawa et à Montréal, les bornes de paiement de stationnements ont été visées par l’entourloupette.

Dans la région torontoise, la semaine dernière, de faux codes QR ont été retrouvés sur des bornes de paiement dans les stationnements de Toronto et de Mississauga.

La Ville de Mississauga a trouvé 80 autocollants de faux codes QR, dont celui-ci, sur ses bornes de stationnement.

Photo : Radio-Canada / Avec l’autorisation de la Ville de Mississauga

La Ville de Mississauga a déployé des équipes pour vérifier l’ensemble de ses bornes, et a constaté plus de 80 autocollants : les responsables y ont trouvé le même code QR que sur les vélos en libre-service.

C’est la première fois que ce genre de comportement a été constaté à Mississauga. J’ai espoir qu’on ait pu intervenir avant que ça fasse des victimes.

Dans un communiqué, la ville précise qu’elle n’utilise pas les codes QR dans ses stationnements, et que les codes QR trouvés sur une machine de paiement pour le stationnement appartenant à la Ville ne sont pas légitimes. Elle promet d’avoir un œil sur ses bornes.

La fourberie est bien connue

La professeure adjointe au département de génie électrique et informatique de l’Université de Waterloo, Kami Vaniea, ne tombe pas des nues en constatant le subterfuge employé ces derniers jours dans la région torontoise.

Pour elle, c’est du déjà-vu.

Je peux littéralement imaginer quelqu’un se faire donner une immense pile de ces [codes QR] et dire "Mets ça partout", illustre-t-elle.

Elle recommande la prudence face aux codes QR de manière générale : éviter de les utiliser s’ils ont une apparence louche, et vérifier où vers quelle adresse ils mènent avant de lire avec un téléphone.

Kami Vaniea souligne qu’en matière de codes QR, la fourchette entre le vrai et le faux n’est pas bien large.

Son constat : c’est impressionnant, dit-elle, à quel point il est difficile pour le grand public de distinguer un vrai code QR d’un faux.

Avec les informations de Haydn Watters, CBC News