Exploiter les QR Codes des gobelets du KFC, c’est facile !

Depuis le 27 janvier 2017, les fontaines à sodas sont interdites dans les restaurants : fini les boissons sucrées en illimité. Pour suivre cette nouvelle législation, le géant américain KFC a mis en place un système de QR Code apposé sur ses gobelets. On scanne le code, et l’appareil nous sert la quantité de boisson correspondant à notre gobelet.

Le procédé est simple, efficace et fonctionne bien, mais n’est pas sécurisé. En effet, tout le monde peut lire, avec n’importe quelle appareil moderne, un QR Code ou même en générer facilement.

Chez Custom Protocol, on est curieux, on a donc lu le contenu du code.

Comment ça marche

Ce fameux code contient deux éléments importants : un ID (propre à chaque gobelet) et le nombre de centilitres que l’appareil doit distribuer :

WBCB;SERVICE;1;ID;CL

Pour l’ID, il est possible de soit reprendre celui de son gobelet, soit en utiliser un différent. À la place de CL, on peut mettre (en centilitres) la quantité de boisson voulue. Une fois ce code modifié, un générateur de QR Code (facilement trouvable sur internet) peut être utilisé et scanné afin de se re-servir à volonté.

Notez que cette méthode a fonctionné pour un certain restaurant KFC, mais qu’il est toutefois possible qu’elle ne marche pas dans d’autres restaurants.

Nous vous rappelons que détourner le code QR d’un gobelet KFC pour se servir à nouveau est un acte considéré illégal et que, de ce fait, Custom Protocol n’encourage aucunement la pratique de ce genre d’actes.

Conclusion

N’importe qui un minimum débrouillard peut exploiter le système QR Code mis en place par KFC. Il serait d’ailleurs très facile de créer une application qui générerait un QR Code en fonction des paramètres que vous souhaitez utiliser.

Si un représentant de la marque lit ceci : arrêtez de laisser les gens se servir et distribuez vous même les boissons, comme le fait votre principal concurrent depuis le début. Cela vous évitera ce genre de problèmes !