Le "quishing" : l'hameçonnage par QR code.

(Temps de lecture : 4 minutes)

« Je scanne le QR code, c’est plus rapide que l’application ! »

Nous avons tous pris l’habitude de scanner des QR codes au quotidien : pour consulter un menu, payer un stationnement, accéder à un service ou confirmer une opération. Mais derrière cette apparente simplicité peut se cacher une arnaque.

Le quishing, contraction de « QR code » et de « phishing », est une technique d’hameçonnage qui utilise les QR codes pour rediriger les victimes vers des sites frauduleux. Cette méthode se développe et peut toucher aussi bien les particuliers que les entreprises.

Qu’est-ce que le quishing ?

Le principe est simple : les cybercriminels créent ou détournent un QR code afin de diriger l’utilisateur vers une destination malveillante.

Le QR code peut être placé sur une affiche, un document, un e-mail ou même directement par-dessus un QR code légitime. Une fois scanné, il peut ouvrir une fausse page internet qui ressemble à celle d’un service connu.

L’objectif est généralement de récupérer des identifiants, des informations bancaires ou des données personnelles. Dans certains cas, le QR code peut également conduire vers le téléchargement d’un fichier ou d’une application malveillante.

Pourquoi les QR codes sont-ils efficaces pour les cybercriminels ?

Le principal problème avec un QR code est qu’il masque sa destination.

Lorsque vous recevez un lien dans un e-mail, vous pouvez parfois passer votre souris dessus pour observer l’adresse vers laquelle il vous dirige. Avec un QR code, cette vérification est beaucoup moins évidente.

Le réflexe est souvent automatique : on ouvre l’appareil photo, on scanne et on suit le lien proposé.

C’est précisément sur cette habitude que les cybercriminels comptent.

Des QR codes frauduleux qui peuvent être partout

Le quishing peut prendre de nombreuses formes et s’intégrer dans des situations très ordinaires.

Un faux QR code peut être collé sur un parcmètre, une borne de recharge électrique ou un affichage public. Il peut également être intégré dans un faux avis de contravention laissé sur un pare-brise.

En entreprise, les attaques peuvent prendre la forme de fausses confirmations Microsoft 365, de messages demandant de renouveler un accès ou de documents contenant un QR code à scanner.

Dans tous ces cas, le principe reste le même : créer un sentiment de confiance et inciter l’utilisateur à agir rapidement.

Comment reconnaître une tentative de quishing ?

Il n’est pas toujours possible de détecter une fraude avant de scanner un QR code. Il est donc important de prendre quelques secondes pour vérifier le contexte.

Avant de scanner, vérifiez la source du QR code. Si celui-ci semble avoir été ajouté ou collé par-dessus un autre, si le support paraît inhabituel ou si le message vous pousse à agir dans l’urgence, mieux vaut ne pas le scanner.

Après le scan, prenez également le temps de regarder l’adresse du site qui s’affiche. Une adresse inhabituelle, une faute dans le nom du domaine ou une URL qui ne correspond pas au service attendu doivent vous alerter.

Enfin, ne renseignez jamais vos identifiants ou vos informations bancaires simplement parce qu’une page vous le demande après avoir scanné un QR code.

Quelques réflexes simples pour éviter le piège

Face au quishing, quelques bonnes pratiques permettent de réduire considérablement les risques :

Vérifiez toujours l’origine du QR code avant de le scanner
Contrôlez l’adresse du site après le scan
Ne renseignez jamais d’informations sensibles sur une page suspecte
Méfiez-vous des messages qui créent un sentiment d’urgence
En cas de doute, accédez directement au site ou à l’application officielle plutôt que de passer par le QR code

En entreprise, la sensibilisation des collaborateurs est également essentielle. Un utilisateur averti sera davantage capable de repérer une situation inhabituelle avant de communiquer ses informations.

Et si vous avez déjà scanné un QR code suspect ?

Si vous avez scanné un QR code et que vous avez saisi des informations personnelles ou professionnelles, agissez rapidement.

Changez immédiatement le mot de passe concerné, notamment s’il est utilisé sur plusieurs services, et activez l’authentification multifacteur lorsque cela est possible.

Si vous avez communiqué des informations bancaires, contactez rapidement votre établissement bancaire.

Dans le cadre professionnel, prévenez également votre responsable informatique ou votre prestataire afin que des vérifications puissent être effectuées sur le compte ou le poste concerné.

La cybersécurité commence par les bons réflexes

Le quishing rappelle une réalité importante : les cyberattaques ne reposent pas uniquement sur des techniques complexes. Elles exploitent souvent des habitudes du quotidien et notre confiance dans des outils que nous utilisons régulièrement.

Un QR code peut être parfaitement légitime. Mais comme pour un e-mail ou un lien internet, il est essentiel de rester vigilant avant de cliquer, scanner ou renseigner des informations.

Chez MADSI, prestataire informatique MSP basé à Nantes, nous accompagnons les TPE et PME dans la protection de leur système d’information. Cybersécurité, supervision, protection des postes, sécurisation des messageries et sensibilisation des collaborateurs : notre objectif est d’aider les entreprises à réduire leur exposition aux cybermenaces et à adopter les bons réflexes.

Avant de scanner, vérifiez. Quelques secondes de vigilance peuvent éviter une compromission.