Le « quishing » : quand les QR codes deviennent des pièges numériques

Chez Proselis, la cybersécurité est un pilier de notre accompagnement quotidien. Dans un contexte où les menaces numériques évoluent sans cesse, notre mission est aussi d’informer et de sensibiliser nos clients pour les aider à adopter les bons réflexes.

Focus aujourd’hui sur une forme d’hameçonnage encore méconnue : le quishing, ou phishing par QR code.

Une menace qui prend de l’ampleur

L’hameçonnage (phishing) reste la menace cyber la plus fréquente en France, comme en témoignent les rapports de Cybermalveillance.gouv.fr. Parmi ses déclinaisons récentes, le quishing – contraction de QR code et phishing – s’inscrit dans une tendance croissante d’exploitation des technologies du quotidien à des fins malveillantes.

À noter : À ce jour, les dernières données consolidées sur le sujet datent du rapport 2023 de Cybermalveillance.gouv.fr. Si aucune mise à jour officielle n’a encore été publiée, les retours terrain et la veille cybersécurité confirment que cette technique continue à gagner en visibilité dans les pratiques malveillantes.

Le QR code : un outil pratique… et vulnérable

Le QR code (Quick Response code) est un code-barres en deux dimensions, devenu omniprésent dans nos usages : menus de restaurant, billets de transport, authentification de services, accès à des documents ou à des formulaires en ligne. Il permet de faciliter l’accès à une ressource sans saisie manuelle, ce qui est particulièrement apprécié depuis un smartphone.

Mais ce confort est aujourd’hui détourné par les cybercriminels, qui l’utilisent pour dissimuler des liens frauduleux derrière des QR codes apparemment anodins.

Comment fonctionne le quishing ?

Dans une tentative de quishing, l’utilisateur est invité à scanner un QR code, souvent intégré dans un e-mail, un SMS, une affiche ou même un faux courrier administratif. En apparence, tout semble légitime. Mais une fois le QR code scanné, il redirige la victime vers un site malveillant, une page de récupération d’identifiants, ou déclenche le téléchargement d’un logiciel espion ou d’un virus.

Ce qui rend cette attaque efficace, c’est l’impossibilité de visualiser clairement l’URL avant de l’ouvrir : contrairement à un lien cliquable, un QR code n’est pas lisible par l’œil humain.

Une tendance encore marginale, mais à surveiller

Selon les dernières données disponibles, le quishing reste encore marginal dans les statistiques globales des cyberattaques, mais sa progression est notable. La démocratisation des QR codes dans nos usages quotidiens offre aux cybercriminels une surface d’attaque nouvelle, d’autant plus redoutable qu’elle exploite une technologie perçue comme inoffensive.

Proselis vous accompagne face à ces nouvelles menaces

Chez Proselis, nous restons en veille permanente sur les nouvelles menaces pour adapter nos conseils, nos solutions et nos formations. Nos experts en cybersécurité vous accompagnent pour :

• Mettre en place des bonnes pratiques de sensibilisation auprès de vos équipes ;
• Déployer des solutions de filtrage, de détection et de réponse face aux menaces de phishing ;
• Intégrer des protocoles de vérification dans les processus internes (emails, QR codes, fichiers partagés, etc.).

Nos conseils pour éviter le quishing :

• Soyez méfiant face aux QR codes non sollicités, notamment dans les emails et les SMS ;
• Vérifiez l’origine du message ou du support physique contenant le QR code ;
• Si possible, utilisez une application de scan sécurisée qui affiche l’URL avant d’ouvrir le lien ;
• En entreprise, formez vos collaborateurs aux nouvelles formes d’hameçonnage ;
• N’installez jamais d’application ou de fichier proposé directement après avoir scanné un QR code.

Le quishing est une forme émergente de cybermenace, qui exploite notre confiance dans les outils numériques du quotidien. Même si son impact reste aujourd’hui modéré, il s’inscrit dans une logique plus large de sophistication des attaques. Chez Proselis, nous avons à cœur de vous accompagner dans l’anticipation de ces risques, et de vous fournir les outils nécessaires pour y faire face avec sérénité.

Vous avez des doutes sur un QR code ou souhaitez sécuriser vos usages numériques ?
Contactez notre équipe d’experts en cybersécurité pour un diagnostic personnalisé.