--- id: "phishing-003" title: "Quishing : comment le phishing par QR code contourne la sécurité de votre entreprise" description: "Découvrez comment le quishing déjoue les filtres antispam en déplaçant l'attaque vers le smartphone personnel, et apprenez à protéger vos équipes." canonical: https://startbrain.io/fr/cybersecurite/quishing-phishing-qr-code-entreprise/ slug: "quishing-phishing-qr-code-entreprise" date: "2026-10-03" category: "phishing" product: "superphisher" lang: fr author: "Brain Security · R&D Cyber & Facteur Humain" frameworks: "ANSSI · NIS 2 · DORA · RGPD · ISO 27001" --- # Quishing (Phishing par QR Code) : La menace qui contourne vos filtres antispam Imaginez le scénario suivant : votre entreprise a déployé les passerelles de messagerie les plus rigoureuses du marché, un EDR moderne sur chaque poste et une authentification multifacteur systématique. Pourtant, un lundi matin, les identifiants d'un contrôleur de gestion se retrouvent compromis sans qu'aucune alerte technique ne se soit déclenchée. Le vecteur d'attaque n'était ni une pièce jointe exécutable, ni un lien suspect glissé dans le corps du texte. C'était un simple carré noir et blanc inséré dans un fichier PDF anodin, invitant à renouveler un accès sécurisé. Le quishing, contraction de QR code et de phishing, représente aujourd'hui une rupture opérationnelle majeure pour les équipes de sécurité. En incitant la victime à scanner un code graphique à l'aide de son smartphone personnel, l'attaquant brise le périmètre défensif construit par la DSI et sort délibérément de la zone sous contrôle de vos outils de supervision. --- ## Qu'est-ce que le quishing et pourquoi met-il en échec les passerelles email ? > **En résumé : Le quishing utilise un QR code pour dissimuler une URL malveillante dans une image. Les passerelles de messagerie traditionnelles n'analysent souvent que le texte brut, ce qui permet au code d'atteindre la boîte de réception sans être bloqué par l'antispam.** Dans une attaque classique, la passerelle de sécurité (Secure Email Gateway) inspecte les liens hypertextes contenus dans le courriel, vérifie leur réputation auprès de bases de renseignements sur les menaces et fait passer les pièces jointes dans un bac à sable (sandbox). Avec le quishing, le piège est invisible pour ces mécanismes primaires. L'URL n'existe pas sous forme de chaîne de caractères lisible dans le message : elle est encodée graphiquement sous la forme d'une matrice de pixels, souvent intégrée dans une image PNG ou encapsulée dans un document PDF. Pour parvenir à intercepter cette menace, les systèmes de filtrage doivent exécuter une reconnaissance optique de caractères (OCR) ou analyser chaque image à la volée pour décoder le motif bidimensionnel. Ce traitement exige des ressources de calcul considérables et génère un temps de latence que beaucoup d'infrastructures ne peuvent pas se permettre à grande échelle. De plus, les attaquants adaptent leurs techniques de dissimulation en modifiant légèrement le contraste, en insérant des logos au centre du QR code ou en utilisant des redirections conditionnelles qui ne s'activent que lorsque la requête provient d'un navigateur mobile. La passerelle laisse donc passer le courriel en toute bonne foi. --- ## Le piège du canal croisé : du PC professionnel au smartphone personnel > **En résumé : En forçant l'usage de l'appareil photo du smartphone pour lire le QR code, le pirate contourne l'EDR du poste de travail et exploite un environnement personnel dénué de filtrage DNS et de contrôle réseau d'entreprise.** Le véritable danger du quishing réside dans cette bascule de contexte, appelée attaque cross-device. Alors que l'employé consulte son courrier sur un poste de travail protégé par des politiques strictes de sécurité, le message l'invite expressément à utiliser son smartphone pour valider une action : synchroniser une application d'authentification, mettre à jour son mot de passe de messagerie ou régler un problème administratif interne. Dès que le collaborateur pointe l'appareil photo de son téléphone personnel (BYOD) sur l'écran de son ordinateur : - **L'isolation de l'EDR disparaît :** le smartphone personnel ne dispose généralement d'aucun agent de télémétrie ni de filtrage d'URL professionnel. - **La protection réseau est court-circuitée :** la connexion passe par le réseau 4G ou 5G de l'opérateur mobile, contournant le proxy d'entreprise et les listes de blocage DNS. - **L'ergonomie mobile masque les indices :** les navigateurs pour smartphones raccourcissent les barres d'adresse pour des raisons d'affichage, rendant les faux noms de domaine ou les attaques par typosquattage presque indétectables à l'œil nu. Ce vecteur ne se limite d'ailleurs pas aux boîtes de réception électroniques. Les attaquants exploitent également le monde physique. On observe régulièrement des QR codes malveillants collés sur les bornes de recharge des parkings d'entreprise, sur des courriers papier prétendument envoyés par le service des ressources humaines, ou sur des affichettes dans les salles de pause incitant à rejoindre un nouveau portail collaboratif. --- ## Comment protéger efficacement vos équipes contre le phishing par QR code ? Face à une menace qui s'affranchit des barrières techniques classiques, la seule défense pérenne repose sur une vigilance humaine active et des réflexes méthodiques. Vous ne pouvez pas empêcher physiquement chaque collaborateur de sortir son smartphone personnel, mais vous pouvez transformer ce réflexe mécanique en une prise de recul salutaire. Pour bâtir un socle de protection robuste contre le quishing, plusieurs mesures concrètes doivent être adoptées : - **Établir une règle de non-usage interne :** explicitez formellement dans vos chartes informatiques qu'aucun service légitime de l'entreprise (DSI, RH, finance) ne demandera jamais de scanner un QR code pour renouveler un mot de passe ou reconfigurer une double authentification. - **Déployer une protection mobile adaptée :** lorsque des smartphones professionnels sont fournis, équipez-les de solutions de gestion de flotte (MDM) intégrant une analyse native des liens ouverts depuis l'appareil photo. - **Former par l'expérimentation réelle :** la théorie ne suffit pas face à l'ingénierie sociale. Pour ancrer les bons réflexes, il est indispensable de confronter vos collaborateurs à des mises en situation réalistes. Avec [Super Phisher](/fr/catalogue/super-phisher/), vous pouvez intégrer des scénarios modernes de quishing dans vos campagnes d'entraînement pour apprendre à vos équipes à déceler les indices suspects avant de flasher un code. - **Instaurer un canal de signalement simple :** donnez à chacun un moyen rapide de remonter une image suspecte ou une affiche inhabituelle sans craindre de passer pour un paranoïaque. La sécurité moderne ne consiste pas à interdire aveuglément les technologies pratiques du quotidien, mais à doter chaque utilisateur du discernement nécessaire pour ne pas devenir la passerelle involontaire d'une compromission globale. Vous souhaitez évaluer la maturité de vos défenses face aux nouvelles tactiques d'ingénierie sociale ? [Parlez-nous de vos besoins](/fr/rendez-vous/) pour construire ensemble une stratégie de sensibilisation adaptée à vos enjeux réels. ### Synthèse exécutive des axes du guide : Quishing : comment le phishing par QR code contourne la sécurité de votre entreprise | Axe stratégique | Recommandation opérationnelle détaillée | | --- | --- | | **L'isolation de l'EDR disparaît** | le smartphone personnel ne dispose généralement d'aucun agent de télémétrie ni de filtrage d'URL professionnel. (Le piège du canal croisé : du PC professionnel au smartphone…) | | **Établir une règle de non-usage interne** | explicitez formellement dans vos chartes informatiques qu'aucun service légitime de l'entreprise (DSI, RH, finance) ne demandera jamais de scanner un… (Comment protéger efficacement vos équipes contre le phishing…) | | **La protection réseau est court-circuitée** | la connexion passe par le réseau 4G ou 5G de l'opérateur mobile, contournant le proxy d'entreprise et les listes de blocage DNS. (Le piège du canal croisé : du PC professionnel au smartphone…) | | **Déployer une protection mobile adaptée** | lorsque des smartphones professionnels sont fournis, équipez-les de solutions de gestion de flotte (MDM) intégrant une analyse native des liens… (Comment protéger efficacement vos équipes contre le phishing…) | --- ## Aller plus loin : articles liés et solutions Brain Security ### Articles complémentaires sur ce thème - **[Fraude au président 2.0 : Quand le clonage vocal et le deepfake vidéo piègent les directions financières](/fr/cybersecurite/fraude-president-deepfake-audio-video-vishing/)** (Phishing & Ingénierie sociale) : Comment protéger vos équipes financières contre la fraude au président par deepfake vocal et vishing ? Procédures, contre-mesures et entraînement pratique. - **[MFA Fatigue et Push Bombing : Contourner la double authentification sans pirater le code](/fr/cybersecurite/fatigue-mfa-push-bombing-authentification/)** (Phishing & Ingénierie sociale) : Comprenez le mécanisme de l'attaque par fatigue MFA (push bombing) et formez vos équipes à adopter le bon réflexe face aux notifications suspectes. - **[Vishing : Comment les cybercriminels manipulent vos équipes au téléphone](/fr/cybersecurite/vishing-ingenierie-sociale-telephonique-helpdesk/)** (Phishing & Ingénierie sociale) : Découvrez les techniques de vishing ciblant le support informatique, la manipulation MFA et comment protéger vos équipes avec des exercices concrets. - **[Cybersécurité RH et Recrutement : Détecter CV Piégés et Faux Candidats IA](/fr/cybersecurite/sensibilisation-cybersecurite-rh-recrutement-cv-pieges-deepfake/)** (Secteurs & Métiers) : Découvrez comment protéger vos équipes RH contre les CV piégés, les portfolios malveillants et les faux candidats en deepfake vidéo lors des entretiens. ### Découvrir les solutions Brain Security sur le site - **Solution associée : [Super Phisher](/fr/catalogue/super-phisher/)** : Le simulateur de phishing qui entraîne vos équipes aux attaques réelles, du faux e-mail au QR code piégé, dans un cadre maîtrisé qui ne capture jamais un mot de passe. - **[Consulter les cas d’usage par besoin et secteur](/fr/cas-d-usage/)** - **[Comparer nos formats de sensibilisation cyber et IA](/fr/comparatif/)** - **[Explorer tout le catalogue interactif Brain Security](/fr/catalogue/)** - **[Parler de vos besoins avec notre équipe (démo et accompagnement)](/fr/rendez-vous/)** --- - https://startbrain.io/fr/cybersecurite/quishing-phishing-qr-code-entreprise/ - [Deutsch](https://startbrain.io/de/cybersecurity/quishing-qr-code-phishing-unternehmenssicherheit-verhindern/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/quishing-qr-code-phishing-corporate-security/) - [English (US)](https://startbrain.io/en-us/cybersecurity/quishing-qr-code-phishing-corporate-defenses/) - [Español](https://startbrain.io/es/cyberseguridad/quishing-phishing-codigo-qr-seguridad-empresa/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/quishing-phishing-qr-code-sicurezza-aziendale/) - [Nederlands](https://startbrain.io/nl/cybersecurity/quishing-qr-code-phishing-bedrijfsbeveiliging-omzeilen/) - [Português](https://startbrain.io/pt/ciberseguranca/quishing-como-phishing-qr-code-contorna-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/quishing-qr-code-phishing-ciso-defense/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/quishing-phishing-kod-qr-bezpieczenstwo-firmy/) - [Svenska](https://startbrain.io/sv/cybersakerhet/quishing-qr-kod-phishing-it-sakerhet/) - [Dansk](https://startbrain.io/da/cybersikkerhed/quishing-qr-kode-phishing-it-sikkerhed/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/quishing-qr-koodi-tietojenkalastelu-tietoturva/) - [Norsk](https://startbrain.io/no/cybersikkerhet/quishing-qr-kode-phishing-sikkerhet-norge/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/quishing-qr-code-phishing-enterprise-defence/) - [llms.txt](https://startbrain.io/llms.txt)