Brain Security · Sensibilisation à la cybersécurité et à l’IA
Catalogue
La compétition cyber entièrement personnalisable : déroulé sur mesure, boss fights et classement public.
Découvrir→
Borne
La borne d’arcade de sensibilisation cyber. Configurable en ligne, livrée clé en main.
Découvrir→
Jeu
Le défouloir des CISO : un seul geste, ~2 minutes, et crier dans le micro multiplie les points.
Découvrir→
Compétition
La compétition de réflexes entièrement configurable : mini-jeux chronométrés, univers cyber, IA ou mixte, mode arcade.
Découvrir→
Expérience
Le photomaton deepfake : on autorise sa webcam, on se voit transformé en direct par une IA, et on ne regarde plus jamais une image de la même façon.
Découvrir→
Encyclopédie
L’encyclopédie cyber visuelle générée par IA : explorez chaque sujet à l’infini.
Découvrir→
Bot
Le bot qui sensibilise dans votre messagerie : des micro-leçons qui arrivent d’elles-mêmes, signées Jack.
Découvrir→
Formation
Le parcours d’apprentissage cyber en carte de progression : des chapitres courts et un quiz-arcade embarqué, sans compte à créer.
Découvrir→
Simulation
Le simulateur de phishing qui entraîne vos équipes aux attaques réelles, du faux e-mail au QR code piégé, dans un cadre maîtrisé qui ne capture jamais un mot de passe.
Découvrir→
Coming soon
La boîte à outils du RSSI, bientôt disponible.
Le jeu narratif qui apprend la cybersécurité en jouant : dix chapitres, une carte de niveaux, sans rien installer.
Découvrir→
Découvrez comment le quishing déjoue les filtres antispam en déplaçant l'attaque vers le smartphone personnel, et apprenez à protéger vos équipes.
Imaginez le scénario suivant : votre entreprise a déployé les passerelles de messagerie les plus rigoureuses du marché, un EDR moderne sur chaque poste et une authentification multifacteur systématique. Pourtant, un lundi matin, les identifiants d'un contrôleur de gestion se retrouvent compromis sans qu'aucune alerte technique ne se soit déclenchée. Le vecteur d'attaque n'était ni une pièce jointe exécutable, ni un lien suspect glissé dans le corps du texte. C'était un simple carré noir et blanc inséré dans un fichier PDF anodin, invitant à renouveler un accès sécurisé.
Le quishing, contraction de QR code et de phishing, représente aujourd'hui une rupture opérationnelle majeure pour les équipes de sécurité. En incitant la victime à scanner un code graphique à l'aide de son smartphone personnel, l'attaquant brise le périmètre défensif construit par la DSI et sort délibérément de la zone sous contrôle de vos outils de supervision.
En résumé : Le quishing utilise un QR code pour dissimuler une URL malveillante dans une image. Les passerelles de messagerie traditionnelles n'analysent souvent que le texte brut, ce qui permet au code d'atteindre la boîte de réception sans être bloqué par l'antispam.
Dans une attaque classique, la passerelle de sécurité (Secure Email Gateway) inspecte les liens hypertextes contenus dans le courriel, vérifie leur réputation auprès de bases de renseignements sur les menaces et fait passer les pièces jointes dans un bac à sable (sandbox). Avec le quishing, le piège est invisible pour ces mécanismes primaires. L'URL n'existe pas sous forme de chaîne de caractères lisible dans le message : elle est encodée graphiquement sous la forme d'une matrice de pixels, souvent intégrée dans une image PNG ou encapsulée dans un document PDF.
Pour parvenir à intercepter cette menace, les systèmes de filtrage doivent exécuter une reconnaissance optique de caractères (OCR) ou analyser chaque image à la volée pour décoder le motif bidimensionnel. Ce traitement exige des ressources de calcul considérables et génère un temps de latence que beaucoup d'infrastructures ne peuvent pas se permettre à grande échelle.
De plus, les attaquants adaptent leurs techniques de dissimulation en modifiant légèrement le contraste, en insérant des logos au centre du QR code ou en utilisant des redirections conditionnelles qui ne s'activent que lorsque la requête provient d'un navigateur mobile. La passerelle laisse donc passer le courriel en toute bonne foi.
En résumé : En forçant l'usage de l'appareil photo du smartphone pour lire le QR code, le pirate contourne l'EDR du poste de travail et exploite un environnement personnel dénué de filtrage DNS et de contrôle réseau d'entreprise.
Le véritable danger du quishing réside dans cette bascule de contexte, appelée attaque cross-device. Alors que l'employé consulte son courrier sur un poste de travail protégé par des politiques strictes de sécurité, le message l'invite expressément à utiliser son smartphone pour valider une action : synchroniser une application d'authentification, mettre à jour son mot de passe de messagerie ou régler un problème administratif interne.
Dès que le collaborateur pointe l'appareil photo de son téléphone personnel (BYOD) sur l'écran de son ordinateur :
Ce vecteur ne se limite d'ailleurs pas aux boîtes de réception électroniques. Les attaquants exploitent également le monde physique. On observe régulièrement des QR codes malveillants collés sur les bornes de recharge des parkings d'entreprise, sur des courriers papier prétendument envoyés par le service des ressources humaines, ou sur des affichettes dans les salles de pause incitant à rejoindre un nouveau portail collaboratif.
| Axe stratégique | Recommandation opérationnelle détaillée |
|---|---|
| L'isolation de l'EDR disparaît | le smartphone personnel ne dispose généralement d'aucun agent de télémétrie ni de filtrage d'URL professionnel. (Le piège du canal croisé : du PC professionnel au smartphone…) |
| Établir une règle de non-usage interne | explicitez formellement dans vos chartes informatiques qu'aucun service légitime de l'entreprise (DSI, RH, finance) ne demandera jamais de scanner un… (Comment protéger efficacement vos équipes contre le phishing…) |
| La protection réseau est court-circuitée | la connexion passe par le réseau 4G ou 5G de l'opérateur mobile, contournant le proxy d'entreprise et les listes de blocage DNS. (Le piège du canal croisé : du PC professionnel au smartphone…) |
| Déployer une protection mobile adaptée | lorsque des smartphones professionnels sont fournis, équipez-les de solutions de gestion de flotte (MDM) intégrant une analyse native des liens… (Comment protéger efficacement vos équipes contre le phishing…) |
Face à une menace qui s'affranchit des barrières techniques classiques, la seule défense pérenne repose sur une vigilance humaine active et des réflexes méthodiques. Vous ne pouvez pas empêcher physiquement chaque collaborateur de sortir son smartphone personnel, mais vous pouvez transformer ce réflexe mécanique en une prise de recul salutaire.
Pour bâtir un socle de protection robuste contre le quishing, plusieurs mesures concrètes doivent être adoptées :
La sécurité moderne ne consiste pas à interdire aveuglément les technologies pratiques du quotidien, mais à doter chaque utilisateur du discernement nécessaire pour ne pas devenir la passerelle involontaire d'une compromission globale.
Vous souhaitez évaluer la maturité de vos défenses face aux nouvelles tactiques d'ingénierie sociale ? Parlez-nous de vos besoins pour construire ensemble une stratégie de sensibilisation adaptée à vos enjeux réels.
