Hameçonnage par code QR (quishing)

Les passerelles de sécurité des messageries d'entreprise analysent les liens contenus dans les courriels et bloquent ceux qui mènent à des sites malveillants. Un code QR, lui, n'est qu'une image : le filtre ne voit pas le lien qu'elle contient. L'attaquant envoie donc un message prétextant une mise à jour de sécurité, une signature électronique ou un avis de paiement, avec un code QR à scanner. La victime le scanne avec son téléphone personnel, hors du périmètre protégé par l'entreprise, et arrive sur une fausse page de connexion qui capture ses identifiants, voire sa session. La technique s'est aussi répandue dans le monde physique : faux codes collés sur des horodateurs, des bornes de recharge ou des menus, qui redirigent vers des pages de paiement frauduleuses. Elle a connu une forte hausse à partir de 2023. Elle exploite deux faiblesses à la fois : l'habitude, installée pendant la pandémie, de scanner sans réfléchir, et la moindre protection des appareils mobiles. Les parades combinent l'analyse des images par les passerelles de messagerie, la sensibilisation, et l'authentification résistante à l'hameçonnage, qui rend inutiles les identifiants capturés. Pour l'assurance, elle rappelle que le périmètre de sécurité déclaré au questionnaire ne couvre pas les téléphones personnels des salariés.