Les points essentiels à retenir pour éviter les pièges du quishing
* Le QR code figurant dans votre e-mail ou dans une pièce jointe pourrait être une arnaque.
* Le phishing par QR code contourne l’authentification multifactorielle (MFA), ce qui conduit au vol de données.
---
Vous est-il déjà arrivé de recevoir un code QR dans votre boîte de réception et de céder à la curiosité ?
Quand on pense au hameçonnage et aux escroqueries, bon nombre des astuces les plus anciennes sont celles que l’on rencontre encore quotidiennement : des e-mails prétendant que des parents perdus de vue depuis longtemps nous ont laissé un héritage, des « avertissements » de Facebook indiquant que nos comptes seront gelés si nous ne répondons pas rapidement, de faux gains à la loterie et des sollicitations indésirables de la part de soi-disants investisseurs prêts à nous transférer des millions de dollars.
Cependant, les temps changent. Les arnaques au recrutement deviennent suffisamment sophistiquées pour convaincre les demandeurs d’emploi de mordre à l’hameçon : l’IA est utilisée pour humaniser et améliorer les tentatives de hameçonnage, voire automatiser des chaînes d’attaque entières. Et aujourd’hui, un nouveau vecteur d’attaque fait son apparition : il consiste à utiliser les codes QR comme arme pour contourner l’authentification multifactorielle (MFA), voler nos données et pirater nos comptes.
Le « quishing » : la fraude par QR code en plein essor
Le « quishing », ou hameçonnage par code QR, consiste à intégrer des liens malveillants dans des codes QR afin de contourner les filtres anti-hameçonnage traditionnels et de passer à travers les mailles du filet de sécurité. Le stratagème est toujours le même : créer un sentiment d’urgence, faire appel à notre cupidité, instiller la peur et la panique, ou promettre des récompenses si l’on scanne le QR code avec notre smartphone et que l’on clique sur le lien intégré pour accéder à une page ou une plateforme en ligne.
Une tentative de hameçonnage par QR code peut prendre de nombreuses formes : un faux message de votre banque, un e-mail vous félicitant d’avoir gagné à la loterie ou un message urgent de votre réseau social. Une fois que vous avez scanné le code et cliqué sur le lien, vous pourriez vous retrouver sur un site conçu pour voler vos données ou compromettre l’un de vos comptes.
Selon le Rapport 2026 sur les tendances en matière de hameçonnage, les messages d’hameçonnage basiques utilisant des codes QR par e-mail sont en baisse, mais ils refont surface en tant que vecteur d’attaque dissimulé dans des pièces jointes d’e-mails frauduleux, comme des fichiers PDF malveillants.
Dans l’ensemble, les attaques de hameçonnage par code QR ont augmenté de 25 % d’une année sur l’autre. Et cela ne se limite pas aux espaces numériques : selon le rapport, des codes QR ont également été repérés dans des espaces physiques, intégrés à des affiches ou apposés sur de fausses cartes de visite.
Comment les attaquants contournent les défenses MFA
Les recherches de Hoxhunt s’appuient sur une notification publiée en juin par l’équipe Trust & Safety de Google, qui avertit que les vecteurs d’attaque traditionnels par e-mail sont en train d’être remplacés par les attaques de type « adversary-in-the-middle » (AITM, méthode d'attaque où l'attaquant se glisse entre la victime et le service auquel celle-ci est invitée à se connecter en donnant identifiant et mot de passe) et les attaques de « quishing ».
Le « quishing » s’associe à l’AITM en dissimulant des liens malveillants sous un format difficile à lire ou à détecter par les filtres de sécurité. Selon Google et Microsoft, voici comment cela fonctionne :
* Vous recevez un e-mail de phishing, et la curiosité vous pousse à scanner le code.
* Vous êtes alors redirigé vers un site web cloné qui semble appartenir à un service de confiance, tel qu’une banque, un prestataire de services financiers ou même une plateforme professionnelle.
* Vous saisissez alors vos identifiants, ce qui permet au pirate de contourner les protections existantes liées à l’authentification multifactorielle (MFA), car vous pensez vous connecter à un site fiable.
* Il peut alors récupérer votre mot de passe et votre jeton de session, ce qui peut entraîner le vol de données, la compromission de votre compte, et bien plus encore.
Ce qui rend cette tactique plus dangereuse que le hameçonnage traditionnel, en particulier pour les entreprises, c’est que les victimes utilisent leur smartphone pour scanner un code QR, contournant ainsi les mesures de sécurité réseau et les filets de protection, tels que la détection du hameçonnage.
L’équipe Microsoft Defender a constaté que les campagnes cybercriminelles basées sur les codes QR sont passées de 10 % à 30 % du total des campagnes de hameçonnage au cours des derniers mois.
Comment éviter de se faire piéger par le hameçonnage par QR code
Comme les QR codes dissimulent des destinations, des liens et du contenu sous la forme d’une image, il est impossible de voir ce qu’ils contiennent ou de vérifier facilement leur origine. Et c’est bien pourquoi il est risqué de scanner et de suivre aveuglément un QR code.
Les QR codes, en particulier ceux auxquels vous ne vous attendez pas, doivent être considérés avec la même méfiance que les liens ou les pièces jointes reçus par e-mail. Même si le format est différent, l’objectif du hameçonnage reste le même : contraindre ou exploiter la curiosité de la victime pour l’inciter à cliquer et à se rendre sur une ressource en ligne malveillante. La seule différence réside ici dans le mode de diffusion : au lieu d’un simple lien ou fichier, la victime utilise son appareil photo pour scanner le code.
Le meilleur conseil est de rester prudent. Si vous recevez un e-mail contenant un code QR qui semble provenir de votre banque, rendez-vous sur le site officiel de votre banque dans un onglet séparé ou ouvrez l’application mobile de votre banque. Même si un message semble légitime, par mesure de sécurité, vous ne devez pas cliquer sur des liens, ouvrir des pièces jointes ou scanner des QR codes à moins d’être absolument certain que la source est légitime et que le contenu du message est sûr.
Gardez également à l’esprit que les menaces liées aux QR codes ne se limitent pas aux e-mails. Vous voyez cet autocollant avec un code QR collé sur un lampadaire près de votre magasin préféré ? Même les autocollants physiques contenant des QR codes peuvent représenter une menace sérieuse pour votre vie privée et votre sécurité.
Source : "ZDNet.com"
http://dlvr.it/TTXJ8P
0 Commentaires