Qu'est-ce que le « quishing » (QR Code phishing) ?

Scanner un QR Code est devenu aussi courant que de cliquer sur un lien. Les utilisateurs se servent de QR Codes pour payer leurs factures, accéder à des services et partager des informations, et le processus ne prend généralement que quelques secondes. Mais un simple scan peut parfois mener à un faux site web conçu pour voler des données. C'est le principe des attaques de «quishing».

Le « quishing » est une forme de hameçonnage qui utilise l'QR Codes pour inciter les internautes à se rendre sur des sites web frauduleux. Ces escroqueries visent souvent les identifiants de connexion, les informations de paiement et les comptes professionnels.

Ce guide explique le fonctionnement du « quishing », les raisons pour lesquelles les pirates y ont recours et les groupes les plus exposés. Vous y trouverez également des conseils pratiques pour éviter les arnaques courantes et découvrirez comment le « quishing » s’inscrit dans le débat plus large sur la sécurité des « QR Codes ».

Qu'est-ce que le « quishing » ?

Le « quishing » est un type d’attaque de phishing qui dissimule une URL malveillante dans une image QR Code plutôt que dans un lien texte cliquable. Ce terme est un mot-valise formé à partir de QR Code et de « phishing », et son objectif est le même que celui de toute attaque de phishing : vous rediriger vers un faux site web afin que les pirates puissent voler vos identifiants de connexion, installer des logiciels malveillants ou collecter vos informations de paiement.

Ce qui distingue le « quishing », c'est son mode de transmission. L'URL malveillante est intégrée à un QR Code que l'appareil photo de votre téléphone lit. Elle ne figure pas dans le corps d'un e-mail, où les filtres de sécurité pourraient la détecter.

Selon Keepnet, les attaques de « quishing » ont augmenté de 587 % en 2023, faisant du phishing par QR Code l’une des techniques de phishing qui connaît la croissance la plus rapide à l’heure actuelle.

Le « quishing » fait partie, au même titre que trois autres types d'attaques apparentées, de la famille du phishing.

Le tableau ci-dessus est important car le « quishing » exploite une faille que de nombreuses défenses traditionnelles contre le phishing n’étaient pas initialement conçues pour contrer. Au lieu de demander aux victimes de cliquer sur un lien visible, les attaquants dissimulent la destination à l’intérieur d’une image QR Code. Dans de nombreux cas, la lecture s’effectue ensuite sur un appareil mobile distinct, hors des contrôles de sécurité qui inspectent normalement le trafic web.

Les attaques de type « quishing » se produisent le plus souvent via deux canaux.

1. Le premier cas concerne les e-mails : un pirate intègre un QR Code dans un message, une pièce jointe ou un fichier PDF, et incite le destinataire à le scanner. 
2. Le deuxième cas concerne le monde physique, où un faux autocollant QR Code est apposé par-dessus un autocollant authentique sur un parcmètre, une table de café, un kiosque dans un hall d’entrée ou un panneau d’affichage public. Ces deux approches reposent sur le même comportement : scanner un code sans vérifier au préalable où il mène.

Le « quishing » en chiffres : à quelle vitesse cette menace se développe-t-elle ?

La montée en puissance du « quishing » n’est pas un risque futur. Ce phénomène se produit déjà à grande échelle. Selon une analyse de Keepnet Labs, les attaques de « quishing » ont bondi de 587 % en 2023, faisant du phishing par QR Code l’une des cybermenaces qui connaît la croissance la plus rapide ces dernières années.

Plusieurs autres statistiques indiquent la même tendance :

• 4,2 millions de menaces de type QR Code ont été détectées rien qu’au premier trimestre 2025.
• 89,3 % des attaques de type QR Code visaient à voler des identifiants de connexion.
• Les cadres dirigeants ont été 42 fois plus souvent la cible d’attaques de type « quishing » que les employés non cadres.
• 26 % des liens malveillants diffusés par e-mail étaient intégrés dans des balises QR Codes plutôt que présentés sous forme d'hyperliens classiques.
• Microsoft indique bloquer en moyenne chaque semaine plus de 18 millions d’e-mails de hameçonnage uniques contenant un lien QR Code dans le corps du message, et environ 3 millions d’e-mails de hameçonnage uniques par jour contenant un lien QR Code.

Les données révèlent également comment opèrent les pirates. Près de 9 attaques sur 10 de type QR Code visent le vol d’identifiants, souvent en redirigeant les victimes vers de fausses pages de connexion imitant des marques et des outils professionnels de confiance. Selon le rapport d’Abnormal Security sur les menaces par e-mail au premier semestre 2024, les cadres dirigeants constituent une cible privilégiée car ils ont accès à des systèmes sensibles, aux autorisations financières et aux données de l’entreprise.

Selon la société de cybersécurité NordVPN, 73 % des Américains scannent des codes QR Codes sans les vérifier, et plus de 26 millions d’entre eux ont déjà été redirigés vers des sites malveillants. En dissimulant la destination à l’intérieur d’une image, les pirates peuvent inciter leurs victimes à passer d’un appareil professionnel surveillé à un téléphone personnel, où les contrôles de sécurité sont souvent moins stricts.

L’essor du « quishing » suit de près celui de l’adoption de l’ QR Code. Menus sans contact, paiements mobiles, enregistrement lors d’événements et procédures d’authentification ont fait du scan d’ QR Code une pratique courante du quotidien. À mesure que le scan est devenu une habitude bien ancrée, les pirates ont trouvé un nouveau moyen de mener des campagnes de hameçonnage sans recourir aux liens traditionnels.

Comment fonctionne une attaque par quishing

Une attaque de type « quishing » se déroule en six étapes. La faille de sécurité critique apparaît entre la troisième et la quatrième étape.

Étape 1 : L'attaquant génère le code malveillant QR Code

L’attaquant crée un code QR ( QR Code ) qui redirige vers une URL malveillante. Il s’agit souvent d’un site destiné à récupérer des identifiants, d’une page de téléchargement de logiciels malveillants ou d’un faux portail de paiement. À ce stade, les attaquants peuvent utiliser des codes QR dynamiques ( QR Codes ). Un lien dynamique QR Code stocke la destination sur un serveur plutôt que dans le code lui-même. L’attaquant peut ainsi modifier l’URL de destination après la diffusion afin de contourner les listes noires d’URL.

Étape 2 : Intégrer l'QR Code e dans l'appât

Le pirate insère l'image QR Code au format PNG ou JPG dans un e-mail de hameçonnage. Une version plus sophistiquée intègre le code dans une pièce jointe au format PDF, telle qu'une facture, un document RH ou un avis de conformité. Les images intégrées dans des fichiers PDF sont encore moins scrutées par les scanners automatisés.

Étape 3 : l'e-mail passe les filtres de sécurité de l'entreprise

La victime reçoit l'e-mail sur un ordinateur portable ou un appareil professionnel. Les outils de sécurité standard analysent le corps du message à la recherche d'URL malveillantes connues, de liens textuels suspects et de domaines signalés. L'QR Code e est une image. L'URL malveillante contenue dans l'image est invisible pour les filtres d'analyse de texte. L'e-mail atterrit dans la boîte de réception.

Étape 4 : La victime scanne le code avec son téléphone portable personnel

L'e-mail invite le destinataire à scanner le code avec son téléphone. L'appât peut prétendre que le lien est plus pratique sur mobile, ou imiter une réinitialisation de l'authentification multifactorielle (MFA) nécessitant un téléphone. La victime prend son appareil personnel et scanne le code.

Étape 5 : Le navigateur mobile ouvre la page de phishing

Le téléphone portable personnel se trouve en dehors du périmètre de sécurité de l’entreprise. La plupart des appareils personnels ne sont pas équipés d’un logiciel de gestion des appareils mobiles (MDM). Le réseau privé virtuel (VPN) de l’entreprise n’est pas actif. Le navigateur suit l’URL décodée et affiche la page de l’attaquant.

Étape 6 : Vol d'identifiants ou installation de logiciels malveillants

La victime saisit ses identifiants sur la fausse page de connexion, effectue un faux paiement ou télécharge une application qui semble indispensable. Le pirate s'empare alors des données.

Le « pivot de l'appareil », c'est-à-dire le transfert d'un appareil d'entreprise vers un téléphone portable personnel entre les étapes trois et quatre, est la raison structurelle pour laquelle le « quishing » fonctionne là où le phishing classique échoue. L'attaque exploite deux périmètres de sécurité distincts, et aucun des deux ne couvre l'intégralité de la chaîne.

Pourquoi le quishing contourne les mesures de sécurité traditionnelles des e-mails

La plupart des e-mails de hameçonnage contiennent un lien cliquable. Les outils de sécurité peuvent analyser ce lien, vérifier sa réputation et le bloquer s’il semble suspect. Le « quishing » fonctionne différemment. Au lieu d’insérer le lien dans l’e-mail, les pirates le dissimulent à l’intérieur d’un fichier QR Code.

Voici trois raisons pour lesquelles le « quishing » peut être plus difficile à détecter que le phishing traditionnel.

1. L'URL malveillante est dissimulée dans une image

Les outils de sécurité des e-mails sont conçus pour analyser le texte, les liens et les domaines. Un QR Code est une image ; par conséquent, l’URL de destination peut ne figurer nulle part dans le texte visible de l’e-mail.

Les éditeurs de solutions de sécurité ont désormais recours à l’analyse d’images pour détecter ces menaces. Par exemple, Microsoft indique bloquer environ 1,5 million d’attaques de type QR Code par jour. Mais tous les outils de sécurité des e-mails ne disposent pas du même niveau de détection de l’ QR Code.

2. La lecture s'effectue souvent sur un autre appareil

De nombreuses personnes scannent QR Codes avec leur téléphone, même lorsque l'e-mail arrive sur un ordinateur professionnel.

Lorsqu'un employé clique sur un lien depuis un ordinateur portable de l'entreprise, les outils de sécurité peuvent souvent inspecter et surveiller cette activité. Mais lorsque cette même personne scanne un QR Code avec son téléphone personnel, la visite peut se faire en dehors des contrôles de sécurité habituels de l'entreprise. Cela offre aux pirates une autre voie d'accès pour atteindre leur cible.

3. Les pirates peuvent modifier la destination d'un QR Code

Certaines campagnes de « quishing » utilisent des QR Codes dynamiques. Une QR Code dynamique pointe vers une destination qui peut être mise à jour ultérieurement. Cela permet aux attaquants de modifier l’URL finale après que l’ QR Code a déjà été envoyée. Dans certains cas, ils peuvent utiliser une destination inoffensive dans un premier temps, puis basculer vers une destination malveillante par la suite, ce qui rend la détection plus difficile.

Le résultat est simple : un e-mail de hameçonnage contenant un lien malveillant visible est souvent plus facile à analyser pour les outils de sécurité. Un QR Code cache cette destination derrière une image et ajoute des étapes supplémentaires entre la victime et le site web malveillant.

Exemples concrets d'utilisation des QR codes

Les attaques de « quishing » peuvent survenir partout où les utilisateurs ont recours à QR Codes. Certaines sont envoyées par e-mail, tandis que d’autres apparaissent sur des panneaux, des affiches et des bornes de paiement dans les lieux publics. Les exemples ci-dessous montrent comment les pirates utilisent QR Codes pour dissimuler des sites web malveillants derrière un simple scan.

Arnaque aux horodateurs à Austin (2022)

En 2022, des escrocs ont apposé de faux autocollants QR Code sur 29 horodateurs à Austin, au Texas. Les automobilistes scannaient les codes pour payer leur stationnement, mais l’ QR Codes les redirigeait vers un site web de paiement frauduleux. Toute personne saisissant ses informations de paiement risquait de les transmettre directement aux escrocs.

L'attaque a fonctionné car les faux autocollants semblaient authentiques. La plupart des conducteurs n'avaient aucune raison de soupçonner que l'QR Codes e d'origine avait été remplacée.

Arnaques liées à la vérification des comptes Microsoft 365

De nombreux e-mails de phishing se font passer pour Microsoft 365. Le message peut prétendre que votre mot de passe arrive à expiration, que votre compte doit être vérifié ou que vos paramètres d'authentification multifactorielle (MFA) doivent être mis à jour.

Au lieu d’inclure un lien, l’e-mail vous invite à scanner un code QR QR Code. L’ QR Code ouvre alors une fausse page de connexion Microsoft conçue pour voler les identifiants et mots de passe. Certaines campagnes tentent également de capturer des informations de session qui aident les pirates à accéder aux comptes.

Comme l'URL malveillante est dissimulée dans l'QR Code, l'e-mail peut sembler, à première vue, plus sûr qu'un message de hameçonnage classique.

Escroqueries liées aux factures et aux paiements

Les entreprises constituent une autre cible courante. Dans le cadre de ces attaques, les escrocs envoient des e-mails qui ressemblent à des factures, des demandes de paiement ou des relevés de compte provenant d’un fournisseur de confiance.

L'e-mail contient un faux lien QR Code censé mener vers des informations de paiement ou des pièces justificatives. Après avoir scanné le lien QR Code, la victime est redirigée vers un faux site web où on lui demande de saisir ses informations de paiement, ses coordonnées bancaires ou ses identifiants de compte. L'objectif est de dérober de l'argent, des informations sensibles ou d'accéder aux systèmes de l'entreprise.

La confiance est un thème récurrent dans ces attaques. Les utilisateurs s'attendent à ce que les horodateurs, les pages de connexion Microsoft et les factures des fournisseurs soient légitimes. Les pirates exploitent cette confiance en dissimulant des sites web malveillants derrière QR Codes. Les attaques par superposition physique sont particulièrement efficaces, car un faux autocollant QR Code peut se fondre dans un panneau, un menu, une borne ou un terminal de paiement par ailleurs légitime.

Le défi pour les utilisateurs est de savoir si un QR Code est sûr avant de le scanner. Pour comprendre cette différence, il faut d'abord savoir si les QR Codes sont sûrs et quelles mesures vous pouvez prendre pour vérifier une page de destination avant de l'ouvrir.

Qui sont généralement les cibles des attaques de « quishing » ?

Les pirates ne ciblent pas tout le monde de la même manière. Ils se concentrent sur les secteurs qui gèrent de l'argent, des informations sensibles ou un grand nombre de documents. Ils ciblent également les employés dont les fonctions impliquent de valider des paiements, de gérer des comptes ou d'examiner des demandes.

Secteurs ciblés par les attaques de quishing

Ces secteurs ont un point commun : de nombreux employés travaillent régulièrement avec des factures, des formulaires, des validations et des notifications comptables. Les pirates exploitent ces flux de travail quotidiens en faisant passer des e- QR Codes s malveillants pour des communications professionnelles courantes.

Rôles couramment ciblés par les attaques de quishing

Si certains secteurs sont exposés à des risques plus élevés, les pirates ciblent souvent des employés spécifiques ayant accès à des fonds, à des données sensibles ou à des systèmes d'entreprise importants.

Cadres

Les cadres supérieurs font partie des groupes les plus ciblés. Selon Abnormal Security, les dirigeants de haut niveau sont victimes de 42 fois plus d’attaques de « quishing » que les autres employés. Les pirates ont souvent recours à des demandes urgentes, à des documents à valider ou à des notifications de vérification de compte, car les cadres supérieurs ont accès à des informations sensibles et aux systèmes financiers.

Équipes financières

Les collaborateurs des services financiers sont souvent la cible de fraudes à la facturation et d’escroqueries liées aux paiements. Leur travail les amène à vérifier les factures, à valider les paiements et à collaborer avec les fournisseurs. Les cybercriminels en sont conscients et déguisent souvent des e- QR Codes s malveillantes en demandes de paiement ou en documents financiers.

Équipes informatiques

Les employés du secteur informatique sont régulièrement confrontés à des réinitialisations de mot de passe, des mises à jour d’authentification multifactorielle (MFA) et des alertes de sécurité. Les e-mails de phishing reproduisent souvent ces messages et utilisent l’ QR Codes pour rediriger les victimes vers de fausses pages de connexion.

Équipes RH

Le personnel des ressources humaines traite des CV, des formulaires d’intégration, des documents relatifs aux avantages sociaux et des dossiers des salariés. Les pirates peuvent faire passer des e-mails de « quishing » pour des documents de recrutement ou des demandes émanant de salariés afin d’accéder aux systèmes de l’entreprise.

Personnel de première ligne et agents de terrain

Les employés travaillant dans des entrepôts, des usines, des magasins de détail et d’autres sites physiques sont exposés à un risque particulier. Les pirates peuvent apposer de faux autocollants QR Code sur les équipements, les bornes, les panneaux ou les terminaux de paiement que les employés utilisent quotidiennement.

Le point commun à toutes ces cibles est la confiance. Les pirates recherchent des situations où scanner un QR Code semble tout à fait normal. Plus le processus est familier, plus une personne est susceptible de scanner d’abord et de poser des questions ensuite.

Comment protéger votre organisation contre le quishing

Le « quishing » fonctionne parce que les pirates dissimulent des liens malveillants dans des e- QR Codes s et incitent les utilisateurs à les scanner. Pour réduire ce risque, les entreprises ont besoin de solutions de protection couvrant à la fois la sécurité des e-mails et celle des QR Code s. Les six mesures de contrôle ci-dessous peuvent vous y aider.

1. Utilisez des outils de sécurité des e-mails capables d'inspecter QR Codes

Les filtres de messagerie traditionnels sont conçus pour analyser les liens et le texte. Les attaques de type « quishing » dissimulent la destination à l'intérieur d'une image QR Code.

Les outils modernes de sécurité des e-mails peuvent décoder les liens QR Codes contenus dans les e-mails et les pièces jointes, puis vérifier si la destination est sûre. Sans cette fonctionnalité, des QR Codes malveillants pourraient passer inaperçus à travers les contrôles de sécurité.

Les normes d'authentification des e-mails telles que DMARC, SPF et DKIM restent importantes, mais elles ne font que vérifier l'identité de l'expéditeur. Elles n'analysent pas le contenu de l'QR Code.

2. Renforcez la protection de vos comptes grâce à l'authentification multifactorielle (MFA) résistante au phishing

De nombreuses attaques de « quishing » visent à voler les identifiants et les mots de passe. Une authentification multifactorielle (MFA) solide réduit le risque qu’un mot de passe volé entraîne la compromission d’un compte.

Dans la mesure du possible, utilisez des méthodes résistantes au phishing, telles que les clés de sécurité ou les clés d'accès. Ces méthodes compliquent considérablement l'accès aux comptes par des pirates, même si un employé saisit son mot de passe sur un faux site web.

3. Limiter l'accès des comptes compromis

Aucun dispositif de sécurité n'est parfait. Les entreprises doivent partir du principe que certaines attaques finiront par aboutir.

Limiter l'accès en fonction des responsabilités professionnelles permet de réduire les dégâts. Si des pirates parviennent à accéder à un compte, ils ne doivent pas pouvoir se déplacer librement d'un système, d'une base de données ou d'une application à l'autre.

4. Former les employés à reconnaître les escroqueries de type QR Code

La plupart des programmes de sensibilisation à la sécurité se concentrent sur les liens suspects. Les employés doivent également apprendre comment fonctionne le « quishing ».

La formation doit aborder les signes avant-coureurs courants, tels que les e-mails dQR Codes s inattendus, les demandes urgentes de vérification de compte et les autocollants « QR Code apposés sur des panneaux ou des bornes de paiement existants.

5. Intégrer le « quishing » dans les programmes de sécurité et de conformité

Des agences fédérales, notamment la Commission fédérale du commerce (FTC), le Bureau fédéral d'enquête (FBI) et l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA), ont toutes mis en garde contre les tentatives d'hameçonnage visant QR Code.

Les organisations doivent revoir leurs politiques de sécurité existantes et s'assurer que le « quishing » est pris en compte dans la formation des employés, les évaluations des risques et les procédures de réponse aux incidents. Cela est particulièrement important pour les secteurs réglementés qui respectent déjà les cadres de cybersécurité et de conformité.

6. Élaborer un plan d'intervention en cas d'incidents liés aux appareils mobiles

De nombreuses attaques de « quishing » redirigent les utilisateurs depuis leur appareil professionnel vers leur téléphone personnel.

Les organisations doivent disposer d’un processus clair pour enquêter sur les signalements de scans malveillants de l’ QR Code, identifier les comptes compromis, réinitialiser les identifiants et surveiller toute activité suspecte.

Le « quishing » se distingue du phishing traditionnel en ce qu’il dissimule des liens malveillants dans des messages de type QR Codes et redirige souvent les utilisateurs depuis leur appareil professionnel vers leur téléphone personnel. Ces tactiques peuvent rendre les attaques plus difficiles à détecter et réduire l’efficacité des contrôles de sécurité conçus pour analyser les liens textuels et le contenu des e-mails.

Alors que l'utilisati QR Code s ne cesse de croître, les organisations doivent considérer le « quishing » comme un risque de sécurité à part entière. Les entreprises qui combinent une sécurité des e-mails tenant compte de l'QR Code, une authentification multifactorielle (MFA) robuste, la formation des employés et des procédures d'intervention claires sont mieux préparées à prévenir les attaques et à limiter les dégâts si l'une d'entre elles venait à aboutir.

Gardez le contrôle sur l'QR Codes s générées par votre entreprise

Les QR Codes ne constituent pas tous une menace. Les entreprises utilisent quotidiennement les QR Codes pour les paiements, les documents, l’expérience client et les processus opérationnels. Le défi consiste à s’assurer que les utilisateurs peuvent faire confiance aux destinations vers lesquelles mènent ces QR Codes.

The QR Code Generator (TQRCG) aide les entreprises à créer des codes QR ( QR Codes ) traçables, modifiables et liés à des destinations vérifiées. Cela permet aux organisations de mieux comprendre comment leurs codes QR ( QR Codes ) sont utilisés et vers où ils redirigent les utilisateurs.

TQRCG Il répond également aux exigences de sécurité de l'enterprise grâce aux certifications SOC 2 Type 2 et ISO 27001, ainsi qu'à la conformité au RGPD. Associées à des fonctionnalités telles que le suivi des scans et la gestion des URL de destination, ces mesures aident les entreprises à renforcer la sécurité de l'QR Code tout en réduisant le risque d'utilisation abusive.