Quishing (QR code frauduleux)

Définition

Le quishing est l'utilisation d'un QR code pour diriger vers un site frauduleux : le code masque l'adresse de destination, qui n'est donc pas lisible avant d'être ouverte.

À ne pas confondre avec

Toutes les attaques qu'on confond, côte à côte : le comparateur « X ou Y ? »

Comment ça fonctionne

Un QR code n'est qu'une adresse encodée sous forme graphique. Rien dans son apparence n'indique où il mène : deux codes visuellement semblables peuvent pointer vers des destinations sans rapport. L'attaquant place un code frauduleux là où la démarche paraît normale — autocollant apposé sur un horodateur ou une borne, courrier imitant une administration, affiche dans un lieu public — et la destination reproduit un service de paiement ou une page de connexion. Le scan se fait le plus souvent au téléphone, où l'adresse s'affiche tronquée et où l'on est moins attentif qu'au bureau.

Pourquoi ça marche

On fait confiance au support plutôt qu'au code : un autocollant sur une borne officielle hérite de sa crédibilité. Et un QR code ne montre pas sa destination, si bien que l'on scanne avant d'avoir pu vérifier.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Autocollant apposé par-dessus un QR code d'origine, ou code visiblement rapporté
• Adresse affichée après le scan sans rapport avec l'organisme attendu
• Demande de paiement immédiat ou de saisie d'identifiants après un simple scan
• QR code reçu par courrier ou par message pour une démarche non sollicitée
• Redirections successives entre le scan et la page finale

Comment vérifier

Avant d'ouvrir, lisez l'adresse que votre téléphone affiche en aperçu et vérifiez le nom de domaine. Pour un paiement ou une démarche administrative, ignorez le code et rejoignez le service officiel par vos propres moyens : un QR code n'est jamais le seul chemin disponible.

Les questions à se poser, dans l'ordre

1. 1

   Le code est-il un autocollant rapporté ?

   Si oui : Ne le scannez pas : utilisez l'application ou le site officiel.

2. 2

   L'adresse affichée avant ouverture est-elle sans rapport avec l'organisme attendu ?

   Si oui : N'ouvrez pas la page.

3. 3

   Avez-vous payé ou saisi des identifiants ?

   Si oui : Faites opposition, ou changez le mot de passe concerné, sans attendre.

Que faire

N'ouvrez pas la page si le domaine ne correspond pas à l'organisme attendu. Sur un support physique, vérifiez qu'aucun autocollant ne recouvre le code d'origine.

Si c'est déjà arrivé

Si des coordonnées bancaires ont été saisies, faites opposition immédiatement. Si des identifiants ont été saisis, changez le mot de passe concerné et activez la double authentification. Signalez les faits sur cybermalveillance.gouv.fr.

• Checklist d'urgence : « Vous avez saisi un mot de passe sur une page »
• L'assistant « J'ai cliqué » : les gestes après un QR code, dans l'ordre

Pour que ça ne se reproduise pas

• Prenez l'habitude de lire l'adresse que le téléphone affiche avant d'ouvrir un QR code.
• Pour un paiement, préférez l'application officielle au code affiché.
• Signalez un autocollant suspect au gestionnaire du lieu.

Les gestes qui déjouent cette attaque

• Décodeur de lien : à qui appartient vraiment cette adresse ?Collez un lien : l'outil montre le nom de domaine réel, ce qui n'est que décor, et les caractères qui imitent d'autres lettres. Rien n'est envoyé.
• Vérifier un lien avant de cliquerComment savoir si un lien est dangereux avant de l'ouvrir ?
• J'ai saisi mon mot de passe sur un faux site : que faireJ'ai cliqué sur un lien et saisi mon mot de passe sur une fausse page, que faire ?
• J'ai donné mes coordonnées bancaires ou un code : que faireJ'ai communiqué ma carte bancaire ou un code de validation à un escroc, que faire ?

Questions fréquentes

Le simple fait de scanner un QR code est-il dangereux ?

Scanner ne fait qu'afficher une adresse. Le risque commence à l'ouverture de la page et surtout à la saisie d'informations. Prenez l'habitude de lire l'aperçu de l'adresse avant d'ouvrir.

Comment repérer un QR code frauduleux sur un support physique ?

Passez le doigt dessus : un autocollant apposé par-dessus le code d'origine se sent au toucher et constitue le signal le plus fiable sur une borne ou un horodateur.

Attaques liées

• Phishing (hameçonnage)
• Faux livreur / colis en attente
• Faux remboursement

Sources officielles

• Cybermalveillance.gouv.fr — Hameçonnage (phishing)