Qu'est-ce que le « quishing » ? Comment fonctionne le phishing par code QR et comment s'en prémunir

Le « quishing » est une forme de hameçonnage utilisant des codes QR. Au lieu d'un lien suspect dans un e-mail, le pirate cache un site web malveillant derrière un code QR, sur une affiche, un parcmètre ou dans une pièce jointe à un e-mail. Toute personne qui scanne ce code est redirigée vers une fausse page qui récupère ses identifiants de connexion ou ses informations de paiement, ou qui installe un logiciel malveillant.

Cette astuce fonctionne parce qu’un code QR masque la destination. Alors que vous pourriez encore passer la souris sur un lien dans un e-mail, un code QR ne vous donne aucun indice sur la page vers laquelle vous serez redirigé. Dans cet article, nous expliquons comment fonctionne une attaque de « quishing », pourquoi cette forme de hameçonnage est en hausse et comment protéger votre entreprise.

Signification de « quishing » : que désigne ce terme ?

Le « quishing » est une contraction des termes « QR » et « phishing ». L'objectif est le même que pour toute attaque de phishing : amener une personne, par la ruse, à divulguer ses identifiants, à valider un paiement ou à télécharger un logiciel malveillant. Seule la méthode utilisée diffère. L'attaquant n'utilise pas de lien cliquable, mais un code QR qui redirige vers la page malveillante.

Ce bouton est bien plus qu'un simple gadget. Depuis le début de la pandémie, nous scannons des codes QR sans même y penser, que ce soit pour consulter un menu, effectuer un paiement, payer un parking ou nous connecter à un compte. Les pirates exploitent précisément ce réflexe acquis : scanner un code QR est devenu un geste routinier, qui ne semble pas présenter de risque.

Comment fonctionne le « quishing » ?

Une attaque de « quishing » typique se déroule en quatre étapes :

• L'attaquant crée un code QR qui redirige vers un faux site web, souvent une imitation d'une page de connexion à Microsoft 365, à une banque ou à un prestataire de services de paiement.
• Le code est diffusé par e-mail, par courrier, via un prospectus ou sous la forme d'un autocollant apposé sur un code QR authentique dans un lieu public.
• La victime scanne le code avec son téléphone. C'est là l'étape décisive : l'attaque passe d'un ordinateur portable professionnel géré, équipé de filtres et de logiciels de sécurité, à un smartphone personnel souvent bien moins protégé.
• La fausse page remplit son rôle. La victime se connecte sur la page contrefaite, et le pirate récupère ses identifiants, y compris parfois la session d'authentification multifactorielle (MFA).

Dans les entreprises, la variante la plus courante est un e-mail qui semble provenir du service informatique ou de Microsoft : vos paramètres d'authentification à deux facteurs (MFA) seraient sur le point d'expirer et vous devriez scanner le code pour vous réauthentifier. L'e-mail ne contient aucun lien cliquable, ce qui contribue justement à lui donner un aspect inoffensif.

Pourquoi le hameçonnage par code QR est-il si efficace ?

Le « quishing » résout deux problèmes que rencontrent les pirates avec les e-mails de phishing classiques.

Premièrement : les filtres de messagerie analysent le texte et vérifient les liens, mais un code QR est une image. L'URL malveillante est invisible, non seulement pour le destinataire, mais aussi pour une grande partie des outils de sécurité. Les messages qui seraient bloqués instantanément s'ils contenaient un lien classique passent inaperçus lorsqu'ils comportent un code QR.

Deuxièmement : le scan redirige la victime vers son téléphone. Sur un petit écran, la barre d'adresse est plus difficile à vérifier, l'URL est souvent partiellement masquée, et les mesures de protection mises en place par l'entreprise, telles que le filtrage Web, font souvent défaut sur les appareils personnels. L'attaquant attire ainsi la victime hors de l'environnement protégé, précisément au moment où l'attaque commence.

Le « quishing » dans la pratique : un faux code QR peut se trouver n'importe où

La force de cette forme de fraude réside dans le fait qu’un code QR frauduleux peut se trouver partout où un code normal peut se trouver : sur une machine, dans votre boîte aux lettres, dans votre boîte de réception ou sur le mur de votre bureau. Ces scénarios se sont tous réellement produits :

• Le faux code QR apposé sur le parcmètre. En novembre 2024, la police néerlandaise et l’ANWB ont mis en garde contre des autocollants comportant de faux codes QR apposés sur des parcmètres, notamment à Amsterdam, Maastricht et Sittard-Geleen. Le code redirigeait vers une imitation d’une application de stationnement bien connue ; le « montant du stationnement » et les informations de la carte bancaire étaient directement transmis aux escrocs.
• La lettre de « la banque ». Des escrocs envoient des lettres sur du papier à en-tête bancaire très convaincant : votre carte bancaire devrait être remplacée et vous devez scanner le code QR pour effectuer cette démarche. Veilig Bankieren met en garde contre cette forme d'escroquerie, précisément parce qu'une lettre papier inspire davantage confiance qu'un e-mail.
• L'e-mail de l'AMF au travail. « Votre authentificateur expire aujourd'hui, scannez ce code pour conserver votre accès. » Le sentiment d'urgence, associé à un processus familier, en fait la variante la plus efficace au bureau.
• La fausse facture ou la fausse demande de signature. Un document qui semble provenir de DocuSign ou d’un fournisseur, comportant un code QR permettant de « consulter » ou de « signer » la facture.
• L'affiche ou le prospectus affiché au bureau. Une annonce concernant une fête du personnel ou une nouvelle politique de stationnement, accompagnée d'un code QR que personne ne remet en question.

Quishing, phishing, smishing et vishing : quelle est la différence ?

Ces quatre techniques relèvent toutes de l'ingénierie sociale ; la différence réside dans le canal utilisé. Le phishing classique s'effectue par e-mail, via un lien ou une pièce jointe. Le smishing utilise les SMS et les applications de messagerie, le vishing se fait par téléphone, et le quishing utilise des codes QR comme point d'entrée. Dans la pratique, les pirates combinent plusieurs canaux : un e-mail de quishing envoyé au travail, suivi d'un appel du « service d'assistance » demandant si la connexion a fonctionné.

Vous souhaitez avoir un aperçu complet de ces variantes et d'autres méthodes d'attaque ? Lisez notre article sur les types d'attaques par hameçonnage les plus courants.

Comment protéger votre organisation contre le « quishing »

Faites du comportement votre première ligne de défense. C’est précisément parce que les technologies ont du mal à détecter les codes QR que la vigilance des employés revêt une importance encore plus grande que dans le cas d’une attaque de hameçonnage classique. Une formation à la sensibilisation à la sécurité permet à votre équipe d’acquérir le réflexe essentiel dans ce contexte : traiter un code QR inattendu exactement comme un lien inattendu. Ne le scannez pas et ne consultez pas l’aperçu de l’URL après l’avoir scanné avant de cliquer dessus.

Testez à l'aide de simulations réalistes. Une simulation de hameçonnage permet d'identifier les personnes qui se laissent piéger et de transformer un clic malavisé en occasion d'apprentissage plutôt qu'en incident. Des tests réguliers permettent de maintenir la vigilance et de vérifier si les comportements s'améliorent réellement.

Comblez les lacunes techniques. Optez, dans la mesure du possible, pour une authentification multifactorielle (MFA) résistante au phishing, protégez les appareils mobiles qui accèdent aux données de l'entreprise et facilitez le signalement : un collaborateur qui signale un e-mail suspect contenant un code QR en moins d'une minute protège tous ses collègues ayant reçu le même message.

Questions fréquentes

Que se passe-t-il si vous scannez un code QR de hameçonnage ?

Le simple fait de scanner une page ne présente généralement aucun danger. Le risque réside dans ce qui suit : la page à laquelle le code donne accès. Tant que vous ne vous connectez pas, que vous ne saisissez pas de données et que vous ne téléchargez rien, les conséquences sont généralement limitées. Avez-vous saisi vos identifiants ? Changez immédiatement votre mot de passe et prévenez votre service informatique.

Comment reconnaître un faux code QR ?

Examinez le contexte avant de scanner : un autocollant collé par-dessus un autre code, une demande de paiement inattendue ou un e-mail qui vous invite insistamment à scanner le code avec votre téléphone sont autant de signaux d'alerte. Après avoir scanné, vérifiez toujours l'URL affichée par votre appareil photo avant d'ouvrir la page.

Un filtre anti-spam empêche-t-il la suppression des e-mails ?

Ce n'est souvent pas le cas. La plupart des filtres vérifient les liens et le texte, or un code QR est une image ne contenant aucun lien lisible. Certains éditeurs de solutions de sécurité analysent désormais les codes QR présents dans les e-mails, mais la détection reste à la traîne par rapport au hameçonnage classique. C'est précisément pour cette raison que la vigilance des employés constitue la mesure la plus importante.

Le « quishing » n'est pas une nouvelle forme d'escroquerie, mais une nouvelle version d'une vieille astuce : attirer quelqu'un vers une fausse page et le laisser faire le travail lui-même. Les équipes qui reconnaissent ce schéma ne se contentent pas de vérifier les liens contenus dans les e-mails, elles s'attardent également sur ce petit carré d'apparence innocente.