La nouvelle menace de cybersécurité qui utilise les codes QR pour piéger les utilisateurs
Le quishing, également connu sous le nom de phishing par code QR, représente une menace croissante pour la cybersécurité. Cette technique exploitée par des acteurs malveillants utilise des codes QR pour rediriger les victimes vers des sites web malveillants ou pour les inciter à télécharger des contenus nuisibles. L’objectif principal de ces attaques est de dérober des informations sensibles, telles que des mots de passe, des données financières ou des informations d’identification personnelles (PII), qui sont ensuite utilisées pour des usurpations d’identité, des fraudes financières ou des attaques de type rançongiciel.
Pourquoi le quishing échappe aux défenses traditionnelles ?
Les techniques traditionnelles de protection, comme les passerelles e-mail sécurisées, sont souvent incapables de détecter les codes QR malveillants. En effet, ces passerelles considèrent fréquemment les codes QR dans les courriels comme des images inoffensives, laissant ainsi les utilisateurs vulnérables à ce type d’attaque. De plus, les codes QR peuvent être distribués par divers moyens, pas seulement par e-mail, mais aussi via les réseaux sociaux, des prospectus imprimés ou même des objets physiques, ce qui élargit le champ d’action des cybercriminels.
Comprendre le code QR
Un code QR, ou code de réponse rapide, est un code-barres bidimensionnel facilement scannable avec un appareil photo ou une application dédiée. La particularité des codes QR réside dans leur capacité à stocker de grandes quantités d’informations, telles que des URL, des détails de produits ou des informations de contact. Cette technologie permet à un smartphone ou à un lecteur de code QR d’accéder rapidement au site web pointé par l’URL intégrée dans le code.
Le fonctionnement d’une attaque par quishing
Dans une attaque par quishing, les cybercriminels créent un code QR pointant vers un site web malveillant. Ils intègrent ensuite ce code QR dans des e-mails de phishing, des publications sur les réseaux sociaux, des flyers ou des objets divers, en utilisant des techniques d’ingénierie sociale pour attirer les victimes. Par exemple, un e-mail peut inviter les utilisateurs à scanner un code QR pour écouter un message vocal chiffré ou pour tenter de gagner un prix en espèces.
Lorsqu’une victime scanne le code QR avec son téléphone, elle est redirigée vers un site malveillant. Ce site peut alors demander des informations privées telles que des identifiants de connexion, des données financières ou des informations personnelles. Les attaquants exploitent ensuite ces données pour des actes malveillants, notamment l’usurpation d’identité, la fraude financière ou la diffusion de rançongiciels.
Comment se protéger contre le quishing ?
Pour se prémunir contre le quishing, il est essentiel de vérifier l’URL associée à un code QR avant de scanner et d’éviter de fournir des informations personnelles, d’effectuer des paiements ou de télécharger des fichiers à partir de sites obtenus via des codes QR non vérifiés. En adoptant ces précautions, chacun peut réduire le risque de devenir une victime du quishing.
