Quishing, cette variété d'hameçon très redoutable ! (videocast)
Après le "phishing", voici le "quishing". Contraction des mots "QR code" et "phishing", cette technique d’arnaque consiste à proposer un faux code QR pour rediriger votre téléphone vers un site web piégé et ... Aspirer vos données personnelles ou bancaires ! Explications avec des experts qui ont décidé de partager leurs précieux conseils pour éviter les pièges de cette escroquerie très en vogue.
Les codes QR sont désormais partout. On les trouve sur les menus des restaurants, sur les horodateurs, et de plus en plus dans nos e-mails. Au-delà de leur côté pratique, ils sont devenus un excellent moyen pour dissimuler des liens malveillants, contourner des filtres de sécurité et dérouter un ordinateur vers un smartphone moins sécurité.
Consulter notre article en vidéo podcast
Pour rappel, le QR (abréviation de « Quick Response ») est un code-barres bidimensionnel -qui peut contenir une URL, des informations de paiement, voire d’autres données personnelles- destiné à simplifier l'accès à des sites web ou plateformes numériques diverses. Leur généralisation massive, accélérée par les interactions sans contact, fait désormais partie de nos usages quotidiens avec un smartphone.
« Selon le « Threat Report 2026 » d’ESET, les codes QR malveillants étaient intégrés dans 11 % des emails d'hameçonnage ».
Mais dans le même temps, la technologie s'intègre parfaitement aux techniques d'hameçonnage : il suffit de remplacer le lien ou la pièce jointe malveillante par un code QR quasi instantanément. Autant dire que la chose intéresse les criminels au plus haut point ! D'ailleurs, de nombreux kits d'hameçonnage intègrent un générateur de codes QR dédié. « Ils permettent à la victime de quitter un environnement d'entreprise assez bien protégé pour un appareil mobile potentiellement non contrôlé, contournant les mesures de sécurité de niveau professionnel », rappellent les experts chez ESET Research.
Des attaques qui passent sous les radars !
L’autre grand avantage des codes QR pour les cyber délinquants repose sur leur capacité de dissimulation. L’entreprise ESET explique : « la destination est encodée sous forme de motif visuel, masquant les URL malveillantes et empêchant certains filtres anti-spam de les détecter. Parfois, ils sont encore plus masqués par leur intégration dans des pièces jointes PDF ou JPEG. Ils ont plus de chances d'atterrir dans les boîtes des employés. Cela peut être difficile pour le personnel de distinguer un message légitime d'un message malveillant. Le texte peu dense, rend difficile d'y déceler des fautes de frappe ou de grammaire. Le lien étant encodé sous forme de motif visuel, il est invisible à l'œil nu ».
Bref, nous voilà très mal face à cette technique de phishing. D’autant qu’utilisée avec une solution de confiance (un DocuSign email ou update from Microsoft), l'attaque par quishing recourt à des techniques d'ingénierie sociale similaires à celles des messages d'hameçonnage classiques.
« Les grandes marques rassurent la victime qui pense pouvoir cliquer en toute sécurité. Des codes QR malveillants sont souvent intégrés à des alertes incitant les utilisateurs à sécuriser leur compte ou à s'authentifier pour confirmer leurs informations ».
Le roi de l’arnaque en tous genres !
Les attaques de quishing ne servent pas uniquement à installer des maliciels et à voler des identifiants. Ils sont également utilisés pour récupérer des jetons d'authentification multifacteur (harvest MFA tokens). Des chercheurs en sécurité ont trouvé de tels « jetons » lors d’attaques conçues pour contourner la sécurité des boutiques d'applis grâce à des téléchargements directs contenant des maliciels déguisés en applis légitimes. Ou encore diriger un utilisateur non pas vers un site malveillant ou d'hameçonnage, mais directement vers une appli légitime de réseau social, de paiement ou autre. Les chercheurs chez ESET listent une série de scénarios d’attaques Quishing utilisées par les pirates :
-Prise de contrôle de compte où la victime est invitée à authentifier l’attaquant sur son compte.
-Fraude financière, où la victime est dirigée vers une appli de paiement dont les informations du bénéficiaire sont pré-remplies.
-Infection du contact/calendrier où des liens de réunion malveillants ou de nouvelles informations de contact sont intégrés à des applis utilitaires et dirigent les utilisateurs vers des sites d’hameçonnage lorsqu’ils cliquent dessus.
-Masquer les outils de sécurité en utilisant des raccourcisseurs de codes QR, qui convertissent les longues adresses Web malveillantes en petits liens et les intègrent dans des codes QR.
Même des équipes de pirates informatiques hautement qualifiés sponsorisés par des gouvernements utilisent le quishing dans leurs méthodes. Un avis du FBI de janvier 2026 informait que le groupe nord-coréen Kimsuky ciblait des groupes de réflexion, des institutions universitaires et des entités gouvernementales US et étrangères au moyen de codes QR dissimulés dans des courriels d'hameçonnage. Ces derniers relevaient que le scan du code dirigerait les utilisateurs vers des questionnaires, des pages d'inscription ou des espaces de stockage sécurisés.
Que faire pour se protéger ? Voici 3 conseils en or!
Les experts rappellent qu’un bon mélange d'ajustements humains, procéduraux et technologiques aide à réduire considérablement le risque de quishing. Les chefs d’entreprise doivent donc veiller à faire appliquer 3 mesures importantes au sein de leur entreprise.
1- Inclure la vérification des codes QR dans les cours de sensibilisation et les exercices de simulation. Encouragez les employés à éviter de scanner les codes QR dans les mails non sollicités et à signaler toute activité suspecte. S’ils pensent que le mail provient d’une source fiable, ils doivent vérifier auprès de l’expéditeur en utilisant des coordonnées obtenues indépendamment du mail.
2- Envisager des mesures techniques, dont la sécurité des mails, intégrée à une solution proposée par un fournisseur de sécurité réputé, pour minimiser le risque que des mails d'hameçonnage n’entrent dans les boîtes de réception. Installer une solution sécuritaire mobile sur les appareils des employés pour bloquer l'accès aux sites malveillants et autres menaces. Exigez également une authentification multifacteur (AMF) résistante au phishing sur tous les comptes sensibles, afin qu’en cas de fraude, les attaquants ne puissent pas s'introduire dans les systèmes de l'entreprise. Les outils de gestion des appareils mobiles (MDM) contribuent à la protection de tous les appareils conformément à la politique de l'entreprise.
3- Réduire la surface d'attaque en appliquant le principe du moindre privilège et un accès just-in-time. Tenir à jour tous les systèmes d'exploitation mobiles et les logiciels d'entreprise, y compris les outils de sécurité. Surveiller en permanence toute activité suspecte. Mettre en pratique les plans de réponse aux incidents en cas de scénario catastrophe.
Les codes QR sont désormais courants en entreprise. Alors que les employés se méfient des tentatives d'hameçonnage traditionnelles par mail et SMS, ils peuvent être formés à repérer les signes d'une possible tentative de quishing. Dans de bonnes circonstances, la familiarisation renforce la sécurité.
La détection utilise une couche dédiée du scanner de mails ESET, créée pour identifier les codes QR dans la grande majorité des fichiers et décoder les URL qu'ils contiennent. Les URL extraites sont analysées par les moteurs anti-hameçonnage, anti-maliciels et anti-spam d'ESET. Les URL malveillantes sont bloquées et les mails associés sont signalés ou supprimés".
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
