La pandémie du Covid 19 a démocratisé l'usage des codes QR au quotidien. Les cybercriminels ont compris que le grand public avait désormais le réflexe de scanner ces codes sans méfiance. Ils ont alors développé une nouvelle méthode de hameçonnage nommé le Quishing, contraction de “QR code” et "phishing". Ce type de cyberattaque utilise des codes QR malveillants pour rediriger les victimes vers des sites frauduleux ou télécharger des virus.
Comment ça fonctionne ?
Les vecteurs d'attaque fréquemment utilisés sont les restaurants, les bornes de paiement de stationnement, les bornes de recharge, mais aussi la méthode classique des boites courriels. Pour les 3 premiers, ils apposent un faux code QR par-dessus du vrai code QR. Quand la victime scanne le code QR, elle est redirigée vers un faux site web qui ressemble textuellement à un vrai service de paiement, une banque ou un service gouvernemental. Si cette dernière y entre ses données ou ses identifiants, le pirate les récupèrent instantanément. Quant aux boites courriel, les pirates réalisent que les filtres de sécurité analysent les textes et les liens, mais ne parviennent pas à lire les URL cachées dans une simple image de code QR. Ils intègrent un code QR dans leur mails, et avec l'intelligence artificielle, ils arrivent à générer des courriels parfaits et hyper-personnalisés, rendant l'arnaque redoutable.
Précautions à prendre
- N'installez jamais d'application pour scanner car contiennent souvent des publicités malveillantes ou masquent les URL.
- Utilisez uniquement l'appareil photo de votre appareil car votre téléphone affiche toujours le lien du code QR avant de l'ouvrir.
- Analysez le lien et vérifiez s'il n'est pas raccourci (ex: bit.ly) ou ne contient pas de fautes d'orthographe.
- Touchez le code QR avant de le scanner. S'il s'agit d'un autocollant collé par-dessus, il y a de fortes chances qu'il soit frauduleux. En cas de doute, tapez directement l'adresse du site dans votre navigateur ou téléchargez l'application.
- Si vous recevez un mail vous demandant d'effectuer une action en scannant un code QR, demandez vous pourquoi vous recevez ce mail parce que les entreprises qui vous envoient des codes QR pour effectuer une action sont rares. Dans le doute, contactez l'entreprise.