Copyright Purple One

Le contexte

” Que vous soyez en France ou à l’étranger, vous pouvez être confronté à des offres de produits de contrefaçon à des prix attractifs. La contrefaçon de marques concerne désormais tous types de produits : habillement, accessoires de mode, téléphones portables, pièces pour automobiles, etc. Vous devez vous montrez vigilant lors de vos achats sur internet.” 
Source : https://www.economie.gouv.fr/dgccrf/Publications/Vie-pratique/Fiches-pratiques/La-contrefacon

En bref

Les QR Codes sérialisés. donc contenant un identifiant unique du produit, permettent de lutter contre les contrefaçons. Lors des scans des QR Codes, il est possible de savoir si un ou des produits apparaissent plusieurs fois pour un même identifiant, ou mieux, lorsque le QR Code est lié à une page d’enregistrement du produit, de remonter jusqu’au vendeur voir du fournisseur intermédiaire. 

Lors du scan, la personne doit être connectée à internet et a donc de facto une adresse IP attribuée par son fournisseur d’internet. Avec cette adresse IP, il est donc possible de connaître la région du scan. Cette région peut être plus ou moins précise. Elle sera fonction de la solution “ reverse IP” (gratuit = moins précise).

Lorsque la marque l’a prévu, la possibilité en ligne de transférer la propriété d’un produit vers un autre acheteur aide à la revente sur le marché de l’occasion..

Objectif : vérifier qu’il n’y a pas de contrefaçon

Dans ce scénario, la marque aimerait savoir si ses produits sont contrefaits. Le scan des produits permettra de savoir s’il y a lieu de mettre en place des actions contre les contrefaçons et dans quelle région.

Le scénario :

1. La société qui désire lutter contre les contrefaçons met en place des QR Codes sérialisés. Chaque produit a donc un QR Code unique qui contient une URL et l’identification du produit,
2. Au travers des différents scan effectués par les clients et en étudiant leurs provenances il est ainsi possible de vérifier si un produit a été scanné de nombreuses fois.La société est ainsi alertée. 

C’est la quantité de scans avec le même produit qui attirera l’attention.

Il faut faire attention aux “ faux positifs “, donc les cas où il est légitime que le produit ait été scanné plusieurs fois :

1. Le même client scanne plusieurs fois le produit dans le même lieu (dans le magasin, chez lui ): même adress IP, même lieu ⇒ OK
2. Le même client scanne plusieurs fois le produit à différents endroits (dans le magasin, chez lui, …) : zone grise
3. Le produit n’a pas été acheté, ce sont juste des scans afin d’obtenir l’information complémentaire : même lieu mais différente adresses IP

Objectif : traçabilité des produits afin de lutter contre les contrefaçons

Dans ce scénario, la marque veut mettre en place une politique anti contrefaçon. Le scan des produits lié à la page d’enregistrement des produits permettra de connaître l’identité des acheteurs et de remonter jusqu’au vendeur..

Le scénario :

1. La société qui désire lutter contre les contrefaçons met en place des QR Codes sérialisés. Chaque produit a donc un QR Code unique qui contient une URL et l’identification du produit,
2. Le client est ensuite incité à enregistrer le produit acheté, et entrer ses coordonnées. En scannant l’URL il est redirigé sur une page d’enregistrement qui contiendra déjà les informations du produit grâce à l’identifiant contenu dans l’URL
3. La société est alertée si un produit avec le même identifiant est enregistré 2 fois.

Le QR Code sérialisé permet de savoir si un produit a été contrefait (plus d’un enregistrement pour le même identifiant). Grâce aux coordonnées de l’acheteur, il est ensuite possible de remonter au revendeur et donc au fournisseur si nécessaire.

Remarque : ce scénario ne permet de valider qu’un produit n’est pas contrefait,; s’il y a des contrefaçons, le 1er enregistré “ gagne “ MAIS, avec les enregistrements suivant il est possible de remonter au revendeur et/ou fournisseur.

Le renforcement par des encres qui floutent

L’idée est de complexifier la copie par des encres qui floutent une partie du QR Code lors de la tentative de copie. La lumière réverbère l’information à copier et crée ainsi un flash brouillant une partie de l’information ce qui rend le QR Code invalide.

Après plus de 25 ans dans l’informatique, je reste très perplexe quant à ce type de sécurité.
D’après moi, tout bon faussaire a les moyens d’effectuer une copie quelle qu’elle soit. Si certes, les “ mauvais “ faussaires seront quelque peu retardés, les pros eux trouveront une parade.
Je me souviens pour exemple du billet de 50.-€ soit disant infalsifiable sorti en avril 2017 et dont des versions contrefaites sortaient déjà en septembre 2017 (https://www.linfo.re/france/societe/726556-le-billet-de-50-eur-deja-contrefait) 

Les QR Codes ne fonctionnent en effet qu’avec 2 couleurs ce qui facilite la lecture…mais aussi la copie. En prenant une photo sans flash ou en jouant avec les contrastes, le QR Code pourra alors être copié. De plus, toute l’information est sur le produit, rien en ligne, donc une fois copié…la copie est valide.

Le renforcement par des points de contrôle 

L’idée est de complexifier la copie 

• soit en ajoutant des informations complémentaires sur le produit (des QR Codes cachés, des signes comme des petites bulles par exemples) 

et/ou

• soit en prenant des photos à plusieurs endroits du produit avec un zoom important (un peu comme une empreinte digitale)

Remarque : si vous ajoutez “ juste “ un élément identique sur tous les produits, vous n’avez pas complexifié la copie. Le faussaire apposera le QR Code et l’élément et vous ne serez plus en mesure de retrouver le vrai du faux…

Si une partie de l’information est en ligne, comme les points de contrôle, alors il sera difficile pour un faussaire de savoir sur quelle partie du produit il doit porter son attention. Si ces points de contrôle sont de plus variables d’un produit à un autre, c’est encore plus compliqué… . Cette méthode complexifie le processus de copie mais aussi celui de production. 

Les contrôles ne peuvent se faire par contre que via des applications complémentaires ou nécessitant un développement..

Le renforcement avec une double authentification

Une solution qui complexifie fortement la vie des faussaires, consiste à utiliser une double authentification. La double authentification vous la connaissez déjà dès lors où vous utilisez des services bancaires. Vous entrez votre identifiant et vous recevez le mot de passe par e-mail ou par SMS ou vous entrez votre identifiant et vous devez saisir le code généré par une application telle que Google Authenticator ou une clé SecureID qui eux changent le code toutes les minutes.

C’est cette dernière méthode qui va nous intéresser. 

Le QR Code sérialisé contient l’URL et l’identifiant du produit, l’équivalent de la page de login avec le nom de l’utilisateur.

En fournissant séparément une clé SecureID associée au produit, ou un QR Code pour Google Authenticator associé au produit qui lui fournira un code modifié toutes les minutes, vous renforcez très nettement la copie.
Le faussaire n’ayant pas les informations d’authentification sur le produit est alors démuni.

Ceci impose de transmettre lors de la vente un document ou un outil (associé au produit) permettant la vérification, celui-ci ne devant pas faire partie de l’emballage ou produit mais fournit séparément par le vendeur.

La page de login permet d’enregistrer le produit ou de valider que le produit n’est pas contrefait.

Le contexte

La nouvelle réglementation entrée en vigueur le 8 décembre 2023 oblige désormais les viticulteurs à indiquer à compter du prochain millésime :

• L’énergie
• La liste des ingrédients
• Le tableau nutritionnel

Bruxelle a laissé le choix : soit toute l’information doit figurer sur l’étiquette / contre étiquette, soit une partie – la liste des ingrédients et le tableau nutritionnel – peuvent être dématérialisés, donc disponible en ligne via un QR Code.

Si l’affichage de ces données est compréhensible, car seul le vin en avait jusque-là l’exception d’affichage, il y a de quoi se questionner sur la volonté de mettre en place un affichage dématérialisé très encadré et réglementé. La Communauté Européenne – C.E. – a en effet été précise, pas de publicité sur les fiches techniques ou d’incitation à la vente.

Seul un affichage technique peut donc être disponible avec un lien éventuel sur le site internet du viticulteur…

Le QR Code donne pourtant une image moderne d’une société qui a su s’adapter à la technologie. Pour les visionnaires qui savent qu’on peut en demander plus qu’un affichage réglementé et encadré une autre porte s’ouvre : le QR Code dynamique (ou QR Code marketing). Il peut ainsi utiliser la magie du QR Code dynamique qui lui permettra d’augmenter selon ses besoins sa base clientèle et/ou ses ventes et/ou sa notoriété

Donc, à moins d’afficher l’ensemble des éléments obligatoires, il faudra un 2e QR code afin d’effectuer votre marketing…

Quels viticulteurs ont intérêt à passer par une information dématérialisée, et donc utiliser un QR Code ?

1. Ceux pour qui l’impact sur les machines à imprimer et/ou coller les étiquettes est trop important. S’il faut remplacer ou modifier l’une de ces machines, alors attention à la facture. Il convient ici de regarder le ROI.
   En moyenne, les fournisseurs de QR Codes vous factureront 150.-€ / an pour vos QR Codes.
   Si la modification ou le remplacement d’une machine vous coûte plusieurs milliers d’euros… mieux vaut peut-être passer par une solution dématérialisée (pour 10 ans on parle de 1’500.-€).

2. 2. Ceux pour qui la réglementation complexifie le processus d’impression, donc ceux qui font appel à des prestataires pour leur impression et qui eux ne sont pas prêts (dû à un coût de changement de machines importants par exemple)
   3. Ceux qui préfèrent se laisser le temps de bien réfléchir. Attention toutefois à ne pas être pris par le temps et de devoir imprimer un QR Code “vite fait” car la DGCCRF a été claire, l’information liée au QR Code doit être disponible tant que le produit est à la vente. Attention donc à ne pas se voir piégé une fois le QR Code imprimé et vous retrouver à payer de nombreuses années un fournisseur que vous ne pourrez plus quitter.
   4. Ceux qui veulent conserver l’esthétisme de leurs contre-étiquettes. Il est vrai que rajouter une liste d’ingrédients, un tableau nutritionnel ainsi que la valeur énergétique va nécessiter les talents d’un bon designer… si vous ne voulez pas avoir à coller un feuillet sur vos bouteilles 😉
   5. Ceux qui ont peur d’afficher ces informations et préfèrent le manque de transparence…
      En appliquant un QR Code ils espèrent qu’une petite partie des prospects / clients iront scanner et lire ces informations.
      Je vous ai trouvé quelques statistiques sur le sujet :

Conclusion

L’affichage par voie dématérialisée est recommandé si vous désirez donner une image moderne et dynamique de votre société, et/ou si vous rencontrez des problèmes techniques et/ou des coûts trop importants à l’étiquetage et/ou si vous préférez une esthétique plus sobre sur votre contre-étiquette.

Dans les autres cas, donc cacher de l’information, ce n’est qu’un retardataire à l’information car les QR Codes se généralisent. … 

Accompagné d’un second QR Code marketing, vous pourrez alors profiter pleinement de la magie des QR Codes dynamiques. Dommage en effet que Bruxelles n’ait pas standardisé l’information à afficher et laissé ensuite la place à un peu de marketing…

Si on prend l’exemple de Coca Cola, la société a préféré tout afficher et utiliser le QR Code pour lancer leur App…

Le contexte

Le nom anglais est “ Qishing ”. Les hackers utilisent les QR Codes afin de remplacer ceux originaux. Les utilisateurs sont alors dirigés vers des sites qui leurs demandent des informations confidentielles. On parle ici de données sensibles telles que les cartes de crédit ou personnelles pouvant être revendues.

Dernièrement des hackers ont placé des QR Codes sur des bornes de recharge électrique.
Les utilisateurs ont payé en ligne … pour un service qu’ils ne recevront jamais.
https://www.lepoint.fr/societe/borne-de-recharge-electrique-attention-a-cette-nouvelle-arnaque-aux-qr-codes-03-01-2024-2548935_23.php

Comment parer au hacking des QR Codes “Qishing” ?

1. Physiquement

Interrogez-vous sur la provenance du QR Code.
Vérifiez tout d’abord bien qu’il n’y ait pas une superposition d’étiquettes.

2. Par logiciel

Utilisez une app de scanning de QR Code avec analyse de l’URL Ces apps permettent grâce à leur base de données en ligne de reconnaître les URLs frauduleuses.
telle que Scanner QR : sécurisé (sur Androïd) ou QR Defender sur Apple.  Ces apps ont soit une base de données en ligne qui contient une liste de sites frauduleux et vous met en garde si vous tombez sur l’un d’entre eux (Il faut par contre que le site ait été déclaré comme frauduleux.…,) soit effectuent des vérifications  (validité du protocole de sécurité, pas une ue URL déjà comprimée, …).

Scanner QR : sécurisé  https://play.google.com/store/apps/details?id=com.trendmicro.qrscan&hl=fr 

QR Defender :https://apps.apple.com/fr/app/qrdefender-scanner-qr-s%C3%A9curise/id6473653366 

3. Par vous même

Tous les scanners affichent l’URL de destination. C’est à ce moment qu’il faut être vigilant et bien vérifier que l’URL est sécurisée. Avant d’ouvrir cette URL contrôlez bien

• qu’elle ne soit pas un une URL qui se “ rapproche “ de celle que vous voulez atteindre ou qu’elle ne soit pas déjà connue comme étant frauduleuse
• qu’elle ne soit pas une “tiny URL” , donc une URL compactée qui ne vous permet pas de savoir où vous allez atterrir…
• Ex.: https://www.credit-agricole.fr/  et https://www.credit-agricole-clients.fr
  La 1ère URL est correcte, l’autre pas…
• que l’URL n’est pas connue comme frauduleuse (copier/coller dans la recherche Google en ajoutant “avis” ou “feedback”)

Lors de l’ouverture de la page contrôlez aussi que le protocole de sécurité est correcte :