« Quishing » ou hameçonnage par QR code

Par Francis MILLOT Le jeudi, 18 juillet 2024 0

Qrcode Inventé en 1994 par Denso Wave, une société japonaise, le QR Code est un code-barres en deux dimensions, constitué de modules généralement noirs disposés dans un carré à fond blanc, qui redirige l’utilisateur vers une page web ou un autre contenu.

Comme les QR codes ne sont pas directement compréhensibles par l’œil humain, les cyberpirates s’en servent de vecteurs d’attaques en les détournant de leur fonction première. Les URL malveillantes, masquées et invisibles, permettent au QR code de facilement duper les protections du système ou du navigateur, qui reposent généralement sur une analyse des URL directement embarquées.Cette technique de phishing (hameçonnage) par QR code, nouveau fléau de la cybercriminalité en pleine expansion, s’appelle le « Quishing ». Elle est plus efficace que le phishing classique car les emails d'hameçonnage qui contiennent des QR codes sous forme d'images intégrées dans l'email ou dans une pièce jointe peuvent contourner les filtres de messageries et atterrir directement dans votre boite de réception principale. En effet, les détecteurs de logiciels malveillants ne signalent un email comme « spam » que s'ils peuvent détecter des URL ou des pièces jointes suspectes.

Cas d'un email. La technique est plutôt simple

Le cyberattaquant envoi un email (spam) qui contient un QR code
L'utilisateur le reçoit dans sa boite de réception principale et l'ouvre
L'utilisateur scanne le QR code avec son smartphone
Le QR code le redirige vers une page de phishing que le cyberattaquant a créé
L'utilisateur est invité à saisir des informations personnelles (mot de passe, numéro de compte bancaire, etc...)
Le cyberattaquant capture les informations personnelles de l'utilisateur et le tour est joué...

Alors vigilance avant de scanner un QR code, qu’il soit dans un lieu public ou dans un email. Si vous le pouvez, utilisez une authentification multifactorielle (MFA), car même si votre identité se retrouve dans les mains du cyberpirate, il ne pourra pas accéder à vos contenus puisqu'il lui manquera le deuxième facteur d’authentification.

Invertir dans la cybersécurité n’est donc pas un luxe, mais une nécessité. Et pas seulement au niveau des produits ou des solutions, mais également dans la formation des utilisateurs et dans l'accompagnement des équipes IT. Comme dit le proverbe, « mieux vaut prévenir que guérir... ».

phishing quishing QR code Cybersecurité sécurité cyberattaques

★ ★ ★ ★ ★

12 votes. Moyenne 5 sur 5.

Vous devez être connecté pour poster un commentaire