Le sujet revient régulièrement dans la presse, souvent sous le nom de « quishing ». Démêlons ce qui est réel.
On ne pirate pas un QR code
Un QR code est une image. Il ne contient pas de programme, il ne s'exécute pas, il ne peut pas être modifié à distance. Personne ne peut « pirater » le carré imprimé sur votre table.
L'attaque réelle : l'autocollant
La seule attaque sérieuse est physique et d'une simplicité désarmante : quelqu'un entre dans votre établissement et colle un autocollant par-dessus votre QR code. Le client scanne, arrive sur un site qui imite votre carte et demande une carte bancaire, un compte, ou installe quelque chose.
Cette attaque cible surtout les QR de paiement — parcmètres, bornes de recharge, terminaux. Elle est plus rare dans la restauration, parce qu'un menu ne demande pas d'argent. Mais elle existe, et elle abîme votre réputation avant la sienne.
Comment s'en protéger
- Passez la main sur vos supports. Un autocollant se sent au toucher : il y a une surépaisseur et un bord. Faites-le partie de la mise en place, comme on vérifie les salières.
- Préférez les supports non collables : un QR imprimé sous une plaque, gravé, ou intégré au chevalet est beaucoup plus difficile à recouvrir proprement.
- Imprimez votre adresse en clair sous le code. C'est la protection la plus efficace et la moins chère : le client voit
modernresto.com/…écrit en toutes lettres et peut comparer avec ce qui s'ouvre. - Vérifiez que votre menu est en HTTPS. Le cadenas dans le navigateur est le premier signal que regardent les clients attentifs.
Ce qui n'est pas un risque
« Scanner un QR code peut infecter mon téléphone. » Non. Scanner ouvre une adresse. C'est ce que vous faites ensuite sur la page qui compte. Un menu qui ne demande ni compte, ni paiement, ni installation ne présente aucun risque particulier.
« Le restaurant peut me pister. » Un menu digital voit les statistiques de consultation habituelles d'un site web. Ce n'est ni plus ni moins intrusif que n'importe quelle page. La question à poser est ce que le prestataire en fait — pas le QR code lui-même.
Le vrai bon réflexe
Un menu de restaurant ne devrait jamais demander un compte, un numéro de téléphone ou une carte bancaire pour être consulté. Si le vôtre le fait, vous entraînez vos clients à accepter exactement ce qu'une fausse page leur demandera.
C'est la raison pour laquelle notre menu s'ouvre sans compte et sans formulaire : moins on demande, moins on habitue les gens à donner.