Pratiques et rapides, les QR codes font désormais partie du quotidien : parcmètres, menus de restaurant, paiements en ligne, consultations de documents, …
Cette popularité attire les cybercriminels. Le quishing (fusion des termes QR code et phishing – hameçonnage), représente une menace croissante. Cette technique cible aussi bien les particuliers dans leur vie de tous les jours que les organisations privées et publiques.
Qu’est-ce que le Quishing, et comment ça marche ?
Le quishing est une variante du phishing traditionnel. Au lieu de cliquer sur un lien hypertexte suspect dans un courriel ou un SMS, la victime scanne un QR code malveillant avec son smartphone ou sa tablette.
Le mode opératoire repose généralement sur quatre étapes :
- La création du code malveillant : l’attaquant génère un QR code qui redirige vers une fausse page web (site miroir) ou déclenche le téléchargement direct d’un fichier corrompu.
- Le déploiement du support : l’attaquant colle son faux code dans l’espace public (par-dessus un QR code légitime, sur un mur ou un espace visible) ou l’insère dans un document imprimé ou numérique (faux courriers des impôts, fausse facture EDF, …).
- Le scan et le piège : la victime scanne l’image. Elle est incitée à saisir des identifiants, des coordonnées bancaires ou à télécharger une application piégée.
- L’exfiltration des données : l’attaquant récupère les informations renseignées, récupère des informations automatiquement, ou prend le contrôle partiel du terminal mobile.
Où rencontre-t’on le plus les arnaques au QR Code ?
- Horodateurs / parcmètres : ceux-ci présentent généralement déjà un QR Code que l’utilisateur doit scanner pour payer. Les attaquants collent parfois le leur (autocollant imprimé) par dessus le QR Code légitime pour ne pas eveiller de soupçons.
- Bornes de recharge électrique : les bornes de recharge électrique en ville proposent généralement elles-aussi un QR Code à scanner pour se connecter, procéder à un paiement, etc. Les attaquants collent leur QR Code par-dessus le QR Code légitime de la borne.
- Fausses contraventions : il s’agit d’une des arnaques les plus courantes. De fausses contraventions sont glissées sur le pare-brise du véhicule, avec un QR Code pour réaliser un paiement rapide. Les victimes, si elles ne font pas attention, scannent et paient en ligne.
- Fausses factures, faux avis de passage, … : une autre arnaque très courante : vous recevez dans votre boite aux lettres un courrier avec la marianne, le logo de votre fournisseur d’électricité, etc. Un paiement vous est demandé, ou la connexion à votre espace personnel pour prendre connaissance d’un courrier. Un QR Code vous permet d’accéder directement à la page de connexion, vous demandant votre identifiant et mot de passe…
- Tables, vitrines, métro, potaux de rue, … : enfin, les QR Codes d’arnaque peuvent se trouver un peu partout. Un cas nous avait dernièrement interpellé : un QR Code à scanner, sur les vitres de protection du métro 14 à Paris (à une station très fréquentée), avec un slogan « Pour combattre l’IA ». Un bon moyen d’obtenir des scans, de la part de personnes qui perdront leurs reflexes de sécurité par raz-le-bol, idéologie, positionnement politique ou croyances personnelles.
J’ai scanné un QR Code non fiable, qu’est-ce que je risque ?
Les conséquences d’un scan frauduleux varient selon le profil de la cible, les objectifs de l’attaquant et les données récoltées.
Parmi les conséquences probables, nous pouvons citer : le vol de coordonnées bancaires ou d’argent, l’usurpation d’identité, le piratage de smartphone, le vol de crédentiels (identifiant / mot de passe), l’atteinte à l’image (en cas d’utilisation du QR Code pour diffamer par exemple).
Les bons reflexes pour se protéger
Inspecter le support physique
Vérifiez sur les bornes, panneaux, menus, etc. que vous êtes bien face à un QR Code imprimé directement sur le support, et non pas collé par dessus.
Examiner l’URL de destination
Certaines applications photo vous permettent de lire l’URL sur laquelle renvoie le QR Code AVANT d’accéder à la page. Si l’URL est étrange (faute d’orthographe, lien non sécurisé, …), ne vous connectez pas.
Privilégier les applications dédiées
Lorsque vous disposez d’une application dédiée pour accéder à un compte ou réaliser un paiement (par exemple une application bancaire), préférez utiliser l’application plutôt que de vous connecter à un espace en ligne via QR Code.
Enfin, si vous avez scanné un QR Code qui vous semble, finalement, suspect et que vous avez fourni des informations (identifiants, coordonnées de carte bancaire, …), lancez un scan antivirus de votre terminal, prévenez votre DSI (si le terminal est professionnel), surveillez vos comptes, etc.
