Quishing : le piège du QR code

Selon Proofpoint, la méthode suit quatre étapes¹.

• Créer le code. Des outils en ligne gratuits produisent des QR codes qui pointent vers un site de hameçonnage ou vers un domaine hébergeant un logiciel malveillant.
• Le diffuser. Le code est placé dans un e-mail de phishing, sur une fausse facture, sur une affiche, dans un menu de restaurant, ou collé par-dessus un QR code légitime.
• Pousser à agir vite. Les messages invitent à une action immédiate, par exemple « Scan to unlock a discount » ou « Verify your account ».
• Exploiter le scan. La victime arrive sur une fausse page de connexion, un collecteur d'identifiants ou un téléchargement de logiciel malveillant.

Le MITRE ATT&CK range le phishing parmi les techniques d'accès initial. Il décrit l'usurpation de l'identité de l'expéditeur, qui peut tromper à la fois le destinataire et les outils de sécurité automatiques, ainsi que le « thread hijacking » (détournement de fil) : l'attaquant inclut la cible dans une conversation existante dont les messages contiennent des fichiers ou des liens malveillants⁵. La page MITRE consultée ne parle pas de QR code : ces ruses sont celles du phishing en général.

Le message type demande de scanner un code, souvent avec une raison pressante. Proofpoint cite « Scan to avoid account suspension » comme exemple de leurre fondé sur l'urgence¹. Les codes se présentent aussi comme des alertes de « vérification de compte » ou des avis d'expédition, avec une banque, une administration ou un fournisseur en expéditeur apparent¹.

Dans les lieux publics, Proofpoint cite les menus de restaurant, les parcmètres, les affiches de magasin et les prospectus d'événement, avec des promesses de réduction, d'accès WiFi ou de contenu exclusif¹. Dans l'entreprise, des codes peuvent se cacher dans des PDF ou des tableurs internes qui se font passer pour des enquêtes ou des supports de formation¹.

Une fois la page ouverte, la CISA liste les signes classiques de phishing : un langage urgent ou émotionnel, une demande d'informations personnelles ou financières, des adresses raccourcies non fiables, des adresses ou liens erronés comme « amazan.com »². Proofpoint cite de son côté « arnazon.com »¹. La CISA précise que l'ancien signe des fautes d'orthographe n'est plus sûr : à l'époque de l'intelligence artificielle, certains e-mails ont une grammaire parfaite².

Le NCSC prévient qu'aucune formation ne permet de repérer toutes les tentatives, et qu'examiner chaque e-mail en détail ne laisserait pas assez d'heures pour le travail⁴.

Un QR code est une matrice lisible par machine qui peut contenir jusqu'à 7 089 caractères numériques ou des URL, accessible avec l'appareil photo d'un smartphone ou une application de lecture. Sa conception inclut une correction d'erreurs, qui lui permet de fonctionner même partiellement endommagé¹.

Côté défense, Proofpoint décrit plusieurs couches. Les moteurs d'analyse utilisent des modèles de vision par ordinateur pour trouver les QR codes dans les e-mails, décoder les adresses et évaluer leur risque. Le bac à sable en ligne extrait les codes des pièces jointes et simule la visite des adresses dans un environnement isolé avant la livraison. Selon Microsoft, cité par Proofpoint, ce contrôle avant livraison a bloqué environ 1,5 million de tentatives de quishing par jour en 2024¹.

Contre les identifiants volés sur ces fausses pages, Proofpoint recommande l'authentification multifacteur, et les protocoles DMARC, SPF et DKIM contre les e-mails usurpés¹. Le NCSC explique que DMARC empêche les hameçonneurs d'usurper le domaine d'une organisation, et qu'il faut plusieurs couches de défense plutôt que de miser sur le seul œil des utilisateurs, car certaines attaques passeront toujours⁴.

2023 : de fausses factures d'entreprise

Proofpoint rapporte une attaque de 2023 qui imitait des factures d'entreprise. Les employés étaient dirigés vers de faux portails de paiement¹. La page ne nomme ni l'entreprise visée ni l'auteur de l'attaque.

2024 : des menus de restaurant recouverts

Selon Proofpoint, une campagne de 2024 a visé des chaînes de restaurants en superposant des QR codes malveillants sur les menus imprimés. Les clients étaient redirigés vers des pages de collecte d'identifiants qui imitaient des programmes de fidélité¹. Là encore, la source ne donne pas de nom de chaîne.

Ces deux cas viennent d'une seule source commerciale, qui ne donne pas de chiffres de victimes. Le NCSC britannique a aussi publié le 8 février 2024 un billet intitulé « QR Codes - what's the real risk? », dont la page consultée ne reproduit que le titre et une phrase d'accroche³.