Codes-barres et QR codes sur vos documents : ce qu'ils révèlent, et pourquoi les masquer

Un code-barres ou un QR code sur un document n'est pas un simple décor. Il stocke une vraie donnée, lisible par une machine. Elle répète souvent le nom, l'adresse ou le numéro de compte que vous venez de masquer dans le texte visible. Il suffit de le scanner pour annuler votre masquage en un instant.

Pourquoi un code-barres peut annuler votre masquage

La plupart des outils de masquage travaillent sur les mots que vous voyez. Un code-barres affiche un motif de barres ou de carrés qu'un lecteur retransforme en texte. Si ce texte caché répète votre nom, votre numéro de compte ou votre adresse, un rectangle noir sur la version imprimée ne sert à rien. Le code garde la valeur d'origine, et n'importe qui avec un téléphone peut la lire en quelques secondes.

Que contient le code 2D-Doc des documents français

La France utilise un système appelé 2D-Doc sur de nombreux justificatifs officiels. Il est conçu et spécifié par l'Agence nationale des titres sécurisés, l'ANTS. Les factures utilisées comme justificatif de domicile, les avis d'impôt et les relevés bancaires portent souvent l'un de ces codes carrés. Le code reprend les données imprimées sur la page, plus une signature électronique.

Cette signature permet à l'organisme qui reçoit le document de vérifier qu'il n'a pas été modifié, selon l'ANTS. Cette même spécification technique avance une estimation de plus de 20 millions de ces justificatifs utilisés chaque année en France. La donnée est signée, pas chiffrée : n'importe quelle application 2D-Doc peut afficher le nom et l'adresse en clair.

• Facture justificative de domicile : le prénom, le nom et l'adresse postale complète du bénéficiaire.
• Relevé bancaire utilisé comme justificatif (RIB) : le nom du titulaire, plus l'IBAN et le BIC.
• Avis d'imposition français : le nom du contribuable, le numéro fiscal et le revenu fiscal de référence.
• Chaque document 2D-Doc : la date d'émission et une signature électronique qui révèle toute modification.

Que révèle le code-barres d'une carte d'embarquement

Les compagnies aériennes suivent un format commun appelé Bar Coded Boarding Pass, ou BCBP, défini par la résolution 792 de l'IATA. Le guide de mise en œuvre de l'IATA, en vigueur depuis 2018, cite le nom du passager comme un champ obligatoire. Le même code-barres porte le vol, le siège et un code alphanumérique court appelé référence de réservation, aussi appelé localisateur PNR.

Cette référence de réservation compte plus qu'il n'y paraît. En 2017, un expert en sécurité a scanné un vrai code-barres en direct pour Global News. Le média a rapporté que cette référence donne accès à bien plus. Elle révèle le numéro de grand voyageur, le téléphone et les futurs vols du même compte de fidélité. Publier une photo nette d'une carte usagée peut livrer tout cela à un inconnu, bien après l'atterrissage.

David Horton, expert en sécurité et technologie, s'est confié à Global News en décembre 2017. Sa règle tient en une phrase : prenez votre carte d'embarquement, ne la mettez pas dans l'album de famille, et détruisez-la.

Quels autres codes transportent vos données

Les codes-barres ne se trouvent pas seulement sur les papiers d'identité et les cartes d'embarquement. Selon la norme EPC069-12 du Conseil européen des paiements, un QR code sur une facture SEPA existe aussi. Il peut porter le nom du bénéficiaire, son IBAN, son BIC et le montant dû. En Suisse, la facture QR a totalement remplacé l'ancien bulletin le 1er octobre 2022, selon SIX Group. Elle encode l'IBAN, le nom du créancier, le montant et une référence de paiement.

Les étiquettes de colis portent un code-barres de suivi juste à côté du nom, de l'adresse et du téléphone du destinataire. Les billets d'événement et les passes sanitaires contiennent des QR codes semblables : un nom, une plage de validité et parfois un numéro d'identifiant. Flouter le nom imprimé en laissant le code intact laisse la même donnée à un scan près.

Comment vérifier un code avant de le partager

Pas besoin d'outil spécial pour voir ce que dit un code. L'appareil photo d'un téléphone récent sait généralement lire un QR code et afficher le texte décodé avant que vous n'ouvriez quoi que ce soit. Un ancien code-barres 1D demande plutôt une application de lecture. Pointez l'appareil, lisez le texte à l'écran, et traitez-le comme le texte imprimé à côté. Un nom ou une adresse mérite le même masquage.

• Scannez chaque code vous-même avant de publier ou d'envoyer la page.
• Vérifiez les petites lignes en bas de page et dans les marges, pas seulement le code principal.
• Si le texte montre un nom, un numéro ou une adresse, masquez tout le code.
• Recadrer un coin ne suffit pas. Recouvrez ou effacez tout le bloc du code.
• En cas de doute, retirez le code et réécrivez l'information à la main.

ONYRI Sanitize lit le texte d'un document pour trouver et masquer les données sensibles. Mais il ne peut pas lire ce qu'encode un code-barres ou un QR code. Utilisez son outil Tracer une zone pour recouvrir le code entier à la main : l'export aplati ne conserve alors que votre page masquée. Limite : à vous de repérer chaque code, y compris les plus petits, cachés dans une marge.

Un masquage vaut ce que vaut son maillon le plus faible. Noircissez le nom visible, puis vérifiez chaque code de la page comme le ferait un scanner. Quelques secondes avec l'appareil photo de votre téléphone peuvent vous éviter de livrer la donnée même que vous vouliez cacher.