Le qui­shing : l’hameçonnage par QR code

Le qui­shing, ou ha­me­çon­nage par QR code, est une cy­ber­me­nace en plein es­sor qui passe sou­vent sous les ra­dars. Se­lon Keep­net Labs, près de 89,3 % des at­taques par QR code visent à vo­ler des iden­ti­fiants et des in­for­ma­tions sen­sibles.

Les cy­ber­cri­mi­nels ex­ploitent l’innocence des uti­li­sa­teurs en les re­di­ri­geant vers des sites web frau­du­leux après avoir scan­né des QR codes com­pro­mis.

Dans un monde hy­per­con­nec­té, la vi­gi­lance face à ce type d’attaque est in­dis­pen­sable pour évi­ter la fraude et pro­té­ger ses don­nées per­son­nelles.

Qu’est-ce qu’un QR code ?

Un QR code (Quick Res­ponse code en an­glais) est un type de code-barres qui peut être scan­né par des ap­pa­reils nu­mé­riques (smart­phones ou ta­blettes).

Ils contiennent di­vers types de don­nées, comme un lien URL qui re­di­rige l’utilisateur ins­tan­ta­né­ment vers un site ou une ap­pli­ca­tion.

Les QR codes sont prin­ci­pa­le­ment uti­li­sés pour per­mettre un ac­cès ra­pide à des in­for­ma­tions et peuvent se trou­ver sur des af­fiches, dans des e‑mails ou sur des sites In­ter­net.

Ce­pen­dant, cette fa­ci­li­té d’utilisation est éga­le­ment ex­ploi­tée par les cy­ber­cri­mi­nels pour trom­per les uti­li­sa­teurs.

Qu’est-ce que le qui­shing ?

Contrai­re­ment aux mé­thodes tra­di­tion­nelles d’hameçonnage, qui s’appuient sur des e‑mails ou des mes­sages trom­peurs, le qui­shing se sert de la confiance que les per­sonnes ont en­vers les QR codes.

Quelle est la dif­fé­rence entre le phi­shing et le qui­shing ?

Ces deux tech­niques de cy­be­rat­taque ont pour ob­jec­tif de trom­per les uti­li­sa­teurs afin de col­lec­ter des in­for­ma­tions sen­sibles. Le phi­shing se fait prin­ci­pa­le­ment par le biais d’e‑mails, tan­dis que le qui­shing re­pose sur des QR code fal­si­fiés, qui peuvent gé­né­ra­le­ment être in­té­grés dans des e‑mails.

Com­ment fonc­tionne le qui­shing ?

Lorsqu’un uti­li­sa­teur scanne un QR code com­pro­mis, il peut té­lé­char­ger in­vo­lon­tai­re­ment un mal­ware ou d’autres lo­gi­ciels dan­ge­reux. Ces pro­grammes per­mettent aux cy­ber­cri­mi­nels d’accéder illé­ga­le­ment aux ap­pa­reils ou d’en prendre le contrôle, com­pro­met­tant ain­si la sé­cu­ri­té du ré­seau de votre en­tre­prise.

Ce­la peut pro­vo­quer des in­ter­rup­tions d’activité, des pertes de don­nées ou d’autres pro­blèmes de sé­cu­ri­té. Les at­ta­quants in­tègrent sou­vent ces QR codes dans des e‑mails pour in­ci­ter l’utilisateur à les scan­ner, ce qui le re­di­rige en­suite vers un site In­ter­net frau­du­leux où il est in­vi­té à sai­sir ses in­for­ma­tions per­son­nelles.

Exemple d’e-mail conte­nant un QR code frau­du­leux.

Quels sont les risques as­so­ciés à cette cy­be­rat­taque ?

Après avoir ob­te­nu ces don­nées, l’attaquant peut les uti­li­ser de dif­fé­rentes ma­nières :

L’usurpation d’identité : L’usurpation d’identité se pro­duit lorsque le cy­ber­cri­mi­nel uti­lise les in­for­ma­tions per­son­nelles de la vic­time, telles que son nom, son adresse ou son nu­mé­ro de sé­cu­ri­té so­ciale, pour se faire pas­ser pour elle.

La fraude fi­nan­cière : Les in­for­ma­tions de carte de cré­dit vo­lées peuvent être uti­li­sées pour faire des tran­sac­tions non au­to­ri­sées ou des es­cro­que­ries en ligne.

La pro­pa­ga­tion de ran­çon­gi­ciels : Les don­nées sen­sibles peuvent éga­le­ment être ex­ploi­tées pour dé­ployer des ran­çon­gi­ciels, une forme de lo­gi­ciel mal­veillant qui bloque l’accès aux fi­chiers ou aux sys­tèmes jusqu’à ce qu’une ran­çon soit payée.

Com­ment se pro­té­ger contre le qui­shing ?

Avant tout, as­su­rez-vous de tou­jours vé­ri­fier l’URL liée à un QR code avant d’interagir avec le site, et évi­tez de par­ta­ger vos in­for­ma­tions per­son­nelles, de réa­li­ser des paie­ments ou de té­lé­char­ger des fi­chiers à par­tir de cette source.

Vous pou­vez éga­le­ment or­ga­ni­ser des for­ma­tions en cy­ber­sé­cu­ri­té au sein de votre en­tre­prise afin de sen­si­bi­li­ser vos col­la­bo­ra­teurs à ces me­naces et aux bonnes pra­tiques de pro­tec­tion en ligne.

En­suite, désac­ti­ver l’option d’installation au­to­ma­tique des ap­pli­ca­tions sur votre té­lé­phone pour li­mi­ter les risques de té­lé­char­ge­ment de lo­gi­ciels non ap­prou­vés.

En­fin, uti­li­sez des ap­pli­ca­tions de sé­cu­ri­té. Ces ou­tils peuvent dé­tec­ter les mal­wares et les sites frau­du­leux, ren­for­çant ain­si votre pro­tec­tion en ligne.

Ain­si, en pre­nant ces pré­cau­tions, vous ré­dui­sez le risque de de­ve­nir une vic­time d’une at­taque de qui­shing.