Les QR codes font désormais partie intégrante de notre quotidien : paiements, affiches, restaurants ou emails, ils sont partout. Or c’est précisément cette commodité que les cybercriminels exploitent via une arnaque appelée « Quishing » (contraction de QR code et phishing).
Qu’est-ce que le Quishing ?
Le Quishing utilise des codes QR manipulés ou falsifiés pour diriger les utilisateurs vers des sites frauduleux ou les inciter à saisir des données sensibles. Contrairement au phishing classique par email, la destination du lien n’est généralement pas visible avant le scan, une faille de sécurité qui fait bien évidemment le bonheur des escrocs.
Comment se déroule une attaque de Quishing ?
Le scénario est souvent le même et prévoit plusieurs étapes :
- Les escrocs placent de faux QR codes (ou collent des autocollants sur des codes légitimes existants) sur des parcmètres, des affiches, des flyers, ou les envoient tout simplement par mail.
- La victime scanne le code et atterrit sur un site web frauduleux imitant à la perfection un site officiel et légitime : une page de connexion, un service de livraison ou une plateforme de paiement.
- Si la personne tombe dans le piège, elle saisit ses identifiants ou valide le paiement. Elle n’imagine pas encore qu’en réalité, ces données ont été automatiquement transférées aux criminels.
Plus rarement, le scan peut aussi déclencher le téléchargement d'un logiciel malveillant sur le smartphone.
Comment vous protéger contre le Quishing ?
Il suffit de quelques réflexes simples pour réduire considérablement les risques.
- Ne scannez que des codes provenant de sources fiables.
- Utilisez exclusivement des lecteurs de QR codes qui vous montrent d’abord le contenu du code et ne le traitent pas immédiatement.
- Une fois le QR code scanné, vérifiez toujours la destination du lien (nom de domaine) ou les informations de paiement avant de naviguer ou de payer.
- Ne saisissez jamais de mot de passe ou d'informations bancaires sur une page ouverte via un QR code.
- Méfiez-vous des codes associés à des messages pressants ou menaçants.
- En cas de doute, n’utilisez pas le code et tapez directement l’adresse officielle dans votre navigateur.
Conclusion
Les codes QR sont pratiques, certes, mais pas infaillibles. Le Quishing prouve que cette technologie, aussi moderne soit-elle, peut facilement être détournée. Pour vous protégez contre ce type d'arnaque, restez vigilant et appliquez les règles de base.
