Le terme « quishing », contraction de « QR code » et de « phishing », désigne les campagnes d’hameçonnage où le lien piégé est remplacé par un QR code. Le principe ne change pas : la victime scanne le code avec son téléphone, arrive sur un site frauduleux, et celui-ci capture ses identifiants ou ses données bancaires, ou déclenche le téléchargement d’un logiciel malveillant.
La technique s’est installée dans l’arsenal des attaquants parce qu’elle neutralise une partie des défenses habituelles de l’entreprise et déplace l’attaque vers le terminal le moins surveillé du parc : le smartphone.
Ce qui rend le QR code intéressant pour un attaquant
Un QR code est une image. L’URL malveillante qu’il encode n’apparaît nulle part en clair, et échappe de ce fait à une partie des passerelles de messagerie conçues pour analyser des liens textuels. Un filtrage qui aurait bloqué le lien écrit laisse passer le même lien dissimulé dans un carré de pixels.
Le scan crée aussi une rupture de contexte. Le message arrive sur le poste de travail, environnement surveillé ; c’est le téléphone, personnel ou professionnel, qui ouvre la page frauduleuse. Cet appareil est souvent dépourvu de filtrage, et son écran réduit rend la lecture de l’URL complète malaisée. S’y ajoute un facteur comportemental : depuis que les QR codes se sont généralisés au restaurant, dans les transports ou pour le paiement, le geste de scanner est devenu banal et n’éveille plus guère de méfiance.
Les scénarios observés
Les campagnes documentées reprennent quelques schémas récurrents :
- un e-mail imitant le service informatique ou la DRH (réactivation de l’authentification multifacteur, document à signer, nouvelle politique de télétravail), dont le QR code mène à une fausse page de connexion d’entreprise ;
- une fausse page qui relaie en temps réel identifiants et codes à usage unique vers le service légitime, ce qui permet de détourner la session malgré la MFA ;
- un QR code physique, autocollant posé sur une borne de parking, une affiche, un menu ou un faux avis de passage, redirigeant vers un site de paiement frauduleux ;
- une fausse facture ou un faux courrier reprenant la charte graphique d’un établissement bancaire, qui invite à « régulariser » une situation en scannant le code.
Le procédé n’est pas récent : l’Internet Crime Complaint Center (IC3) du FBI alertait dès début 2022 sur des QR codes falsifiés, collés notamment sur des parcmètres pour détourner des paiements. Ces scénarios s’articulent avec les autres techniques d’ingénierie sociale, de la fraude au président au faux conseiller bancaire au téléphone, et profitent comme elles de l’industrialisation des leurres par l’IA générative. Le QR code n’est d’ailleurs qu’un canal parmi d’autres pour conduire la victime vers une infrastructure frauduleuse, au même titre que la publicité en ligne piégée.
Un double risque pour les banques et les assureurs
Pour un établissement financier, la menace joue sur deux tableaux. En interne, les campagnes visent les identifiants des collaborateurs et les parcours d’enrôlement MFA, portes d’entrée vers le système d’information ; leur détection revient le plus souvent au SOC, comme les autres tentatives d’intrusion. Côté clients, l’usurpation de la marque, par de faux courriers et de fausses pages de paiement aux couleurs de l’établissement, alimente la fraude et l’atteinte à la réputation, et les victimes se tournent naturellement vers leur banque. Ces leurres sont d’autant plus soignés que l’IA générative en abaisse le coût de production ; le phishing assisté par l’intelligence artificielle pèse d’ailleurs sur le secteur financier bien au-delà du seul QR code.
La surveillance des campagnes usurpant la marque et l’obtention rapide de la fermeture des sites frauduleux font donc partie de la réponse, au même titre que la protection interne. Le volume des attaques justifie cet effort : l’hameçonnage reste l’une des menaces les plus signalées en France, comme le montre notre panorama de l’évolution de la cybercriminalité en France en 2024.
Comment les organisations s’en prémunissent
Les parades prolongent celles de la lutte contre l’hameçonnage classique. La fiche réflexe consacrée à l’hameçonnage publiée par cybermalveillance.gouv.fr conseille de vérifier l’adresse du site avant toute saisie d’information et de se méfier des messages non sollicités ; appliquée au QR code, cette vérification porte sur l’URL affichée par le téléphone après le scan, domaine exact compris. Certains établissements intègrent désormais le scan de codes à leurs exercices et programmes de sensibilisation des collaborateurs, un geste que les campagnes de faux phishing par e-mail ne couvraient pas.
L’authentification constitue un autre levier. Les standards d’authentification résistante au phishing, passkeys et FIDO2 en tête, privent de valeur les identifiants et codes capturés par une fausse page, le secret ne pouvant être rejoué depuis un autre domaine. L’ANSSI recommande de longue date l’authentification multifacteur et la sensibilisation des utilisateurs face à l’hameçonnage. Sur le plan technique, les établissements s’appuient sur la gestion des terminaux mobiles, le filtrage DNS et la protection de la navigation sur les appareils professionnels, un périmètre dont l’exposition croît avec les attaques visant les API des applications financières. Les passerelles de messagerie récentes décodent par ailleurs les QR codes contenus dans les messages et pièces jointes pour en analyser la destination. Reste une mesure organisationnelle, que des entreprises appliquent déjà : exclure les QR codes des communications officielles internes, afin que chacun puisse vérifier la consigne « le service informatique ne demande jamais de scanner un code ».
Questions fréquentes sur le quishing
Qu’est-ce que le quishing ?
Le quishing est une forme d’hameçonnage qui remplace le lien piégé par un QR code : la personne qui le scanne est dirigée vers un site frauduleux conçu pour voler des identifiants ou des données bancaires, ou pour installer un logiciel malveillant. Le mot est une contraction de « QR code » et de « phishing ».
Pourquoi les attaquants utilisent-ils des QR codes ?
L’URL malveillante, encodée dans une image, échappe à une partie des filtres de messagerie qui analysent les liens textuels. Le scan déplace de surcroît l’attaque vers un smartphone, en général moins protégé que le poste de travail et dont l’écran rend l’adresse réelle du site difficile à contrôler. La banalisation du geste achève de faciliter les choses : on scanne un menu ou une affiche sans y prêter attention.
Comment reconnaître un QR code piégé ?
Le code lui-même ne se distingue en rien d’un code légitime. Les indices se trouvent dans le contexte : message inattendu, ton pressant, demande d’identifiants, autocollant posé par-dessus un affichage officiel. La fiche réflexe de cybermalveillance.gouv.fr conseille de contrôler l’adresse qui apparaît à l’écran une fois le code scanné, sans se contenter du début de l’URL, et, en cas de doute, de passer par le site ou l’application officiels du service concerné.
Comment une entreprise peut-elle se protéger du quishing ?
Les dispositifs observés combinent la sensibilisation des collaborateurs au scan de codes, une authentification résistante au phishing qui rend les identifiants volés inexploitables, la protection des terminaux mobiles, des passerelles de messagerie capables d’analyser les QR codes et des règles claires sur l’usage de ces codes dans les communications internes. Pour un établissement financier, la surveillance de l’usurpation de sa marque et la fermeture rapide des sites frauduleux complètent le dispositif.
