Phishing par QR code (quishing) : le reconnaître et réduire le risque
Comprenez le phishing par QR, pourquoi une destination cachée peut convaincre et quels contrôles réduisent le risque de faux login ou paiement.
Réponse rapide
Le quishing est une forme de phishing qui utilise un QR code pour transmettre le lien ou l’action malveillante. L’attaquant peut placer le code dans un e-mail, document, colis, affiche, panneau de parking ou sticker posé sur un QR légitime. Il peut conduire vers une fausse page de connexion ou de paiement convaincante. Les protections sont celles du phishing en général : questionner l’urgence inattendue, vérifier la source par un autre canal, prévisualiser la destination et ne transmettre aucune donnée sensible tant que domaine et contexte ne sont pas fiables.
Points clés
- Le QR masque la destination lisible par l’humain jusqu’à son décodage.
- Un attaquant peut copier le branding tout en changeant l’URL sous-jacente.
- Le remplacement physique est possible puisqu’un sticker peut couvrir un QR légitime.
- Urgence, avertissements de compte, prix et demandes de paiement sont des tactiques de pression courantes du phishing.
- Une vérification indépendante est plus fiable que l’apparence du message ou du panneau.
Que faire
- 1Faites une pause lorsqu’une demande QR est inattendue ou urgente.
- 2Vérifiez l’expéditeur, l’emplacement physique et les signes d’altération.
- 3Prévisualisez le domaine et comparez-le au domaine officiel connu de l’organisation.
- 4Ouvrez l’application officielle ou naviguez manuellement vers le service lorsqu’une action sensible est demandée.
- 5Signalez les QR suspects à l’organisation ou à l’administrateur concerné.
Erreurs fréquentes à éviter
- Supposer qu’un QR dans un e-mail de marque échappe aux contrôles habituels de phishing.
- Scanner un code inconnu juste pour voir ce qui se passe.
- Faire confiance à une page de connexion parce que logo et couleurs semblent corrects.
- Saisir des identifiants après plusieurs redirections vers des domaines inconnus.
Questions fréquentes
Qu’est-ce que le quishing ?
C’est du phishing utilisant un QR code comme chemin vers une destination malveillante ou trompeuse.
En quoi le phishing QR diffère-t-il du phishing e-mail ?
L’ingénierie sociale est similaire, mais la destination est encodée dans une image plutôt qu’affichée comme texte de lien.
Un escroc peut-il remplacer un vrai QR par un faux ?
Oui. Le remplacement par sticker est une raison d’inspecter les QR publics pour détecter les altérations.
Que vérifier avant d’ouvrir un lien QR ?
Source, contexte, domaine prévisualisé et cohérence de l’action demandée.
Que faire si un QR dit que mon compte va être fermé ?
Ne vous fiez pas au QR. Ouvrez le service par une voie de confiance et vérifiez directement le compte.
Un faux QR peut-il ressembler exactement à un vrai ?
Le motif diffère si le contenu change, mais une personne ne peut généralement pas reconnaître la destination par simple inspection visuelle.
Faut-il scanner un QR reçu dans un colis ou message inattendu ?
Traitez toute invitation QR inattendue avec prudence et vérifiez expéditeur ou objectif avant d’interagir.
Comment une entreprise réduit-elle le risque de QR altérés ?
Utilisez des placements durables et brandés, inspectez les codes publics, employez des domaines reconnaissables, sécurisez les comptes de gestion et permettez le signalement des supports suspects.
Sources et lectures complémentaires
Les affirmations techniques ou sensibles de ce guide s’appuient, lorsque c’est possible, sur des références primaires ou faisant autorité.
Guides QR associés
Comprenez risques QR, destinations fiables, stickers altérés, redirections suspectes, permissions du scanner et bonnes pratiques de publication.
Distinguez le décodage local d’un QR de la visite d’une destination Web mesurable, avec analytics de scan et considérations de confidentialité.
Comprenez le fonctionnement des QR dynamiques, la modification d’une destination après impression, le suivi des scans et les situations où le dynamique est préférable au statique.