Le quishing est une technique d’hameçonnage par code QR, un type de cyberattaque qui cible les particuliers comme les entreprises, notamment via des e-mails imitant une facture, un service de livraison ou une demande de connexion professionnelle. En scannant ces codes malveillants, les utilisateurs sont dirigés vers des sites frauduleux destinés à récupérer leurs identifiants de connexion ou d’autres informations sensibles.

Qu’est-ce que le quishing ou arnaque au QR code ?

Le quishing est une variante du phishing (phising QR) où les cybercriminels remplacent les liens URL classiques par un QR code. Dans une campagne de quishing, le QR code peut contenir une URL de destination frauduleuse, difficile à vérifier avant son scan. Lorsqu’il est intégré sous forme d’image, il peut compliquer l’analyse par certains filtres de messagerie, notamment les outils qui se concentrent sur les liens textuels. Cette méthode d’ingénierie sociale exploite la confiance des utilisateurs envers les QR codes, devenus usuels pour les paiements ou l’accès à des services.

Comment fonctionne une attaque de quishing ?

Une attaque de quishing suit généralement quatre étapes :

  • Diffusion : Les cybercriminels diffusent un QR code par e-mail, SMS, courrier ou affichage physique.
  • Leurre : Le message exploite un sentiment d’urgence et peut contenir des fautes d’orthographe, par exemple une facture impayée ou une demande de validation de compte.
  • Scan : la victime scanne le code avec son smartphone, puis ouvre l’adresse proposée.
  • Action: Le lien peut ouvrir un faux site de connexion ou proposer le téléchargement d’un logiciel malveillant, voire d’un ransomware.

Pourquoi le quishing est-il dangereux pour les entreprises ?

Pour une TPE, un indépendant ou une grande entreprise, le quishing peut exposer des comptes et des données professionnelles, notamment lorsqu’un QR code est scanné sur un téléphone mobile utilisé pour travailler. Selon Unit 42 de Palo Alto Networks*, 15 % des pages contenant des QR codes détectées par ses robots d’exploration web renvoyaient vers des liens malveillants.

Quels sont les exemples de quishing ?

Les exemples de quishing les plus fréquents sont les suivants : un SMS de livraison, un e-mail de facture ou une affiche de paiement peuvent contenir un QR code renvoyant vers un faux site. Dans les cas les plus ciblés, les attaquants pratiquent le spear phishing, une attaque personnalisée visant un collaborateur précis. Les attaquants imitent souvent l’identité visuelle d’une marque ou d’un service connu pour tromper leurs victimes, avant de les diriger vers une page frauduleuse qui demande un mot de passe ou propose le téléchargement d’un logiciel malveillant.

Quelles différences entre phishing, smishing, vishing et quishing ?

Bien que ces termes désignent tous de l’hameçonnage, le vecteur change :

Mot Définition Vecteur d’attaque
Phishing Hameçonnage visant à obtenir des informations sensibles en usurpant une entité de confiance. E-mail avec lien ou pièce jointe malveillante.
Smishing Hameçonnage par SMS pour pousser au clic ou au partage de données . SMS frauduleux sur mobile.
Vishing Hameçonnage vocal se faisant passer pour une banque ou un service officiel. Appel ou message vocal.
Quishing Hameçonnage exploitant les QR codes pour rediriger vers un site malveillant. QR code frauduleux.

Ce qu’il faut retenir du quishing

  • Le quishing utilise un QR code pour diriger vers un faux site ou un téléchargement malveillant.
  • Repérez les signaux d’alerte : un expéditeur inconnu, le contexte de la demande ou l’adresse affichée avant d’ouvrir le lien.
  • Les cybercriminels misent sur la confiance des utilisateurs envers les QR codes pour voler des identifiants ou inciter au téléchargement d’un logiciel malveillant.

Source

chevron_left Voir toutes les définitions