Lors d’attaques de type « quishing », des cybercriminels placent des codes QR contenant des liens malveillants dans des lieux publics, comme des horodateurs ou des restaurants, ou les envoient par courriel. Ces attaques peuvent entraîner des pertes financières, le vol de données personnelles ou la compromission d’appareils, préviennent les experts en cybersécurité.
Tribune Planet VPN – Début janvier, le FBI a mis en garde contre des cyberattaques organisées par des cybercriminels nord-coréens utilisant de faux codes QR pour inciter les utilisateurs à divulguer leurs informations personnelles. Selon les experts en cybersécurité, des attaques similaires, également connues sous le nom de « quishing », sont en augmentation non seulement aux États-Unis, mais aussi dans d’autres pays, les cybercriminels cherchant constamment de nouvelles sources de revenus.
Le « quishing » (hameçonnage par code QR) est une technique d’hameçonnage où les cybercriminels tentent d’inciter les utilisateurs à scanner des codes QR qui mènent vers des sites web malveillants. Des organisations de plusieurs pays ont alerté sur le fait que des individus malveillants placent ces codes QR par-dessus des codes légitimes dans des lieux publics tels que des bornes interactives, des restaurants ou des horodateurs.
Par exemple, l’année dernière, les autorités britanniques ont mis en garde les usagers contre de faux autocollants QR sur les horodateurs, redirigeant les victimes vers des pages de paiement frauduleuses. De son côté, la Commission fédérale du commerce américaine (FTC) a émis un avertissement similaire concernant des colis inattendus contenant des codes QR menant à des sites d’hameçonnage. Ces faux codes QR peuvent également circuler en ligne.
Le FBI a ainsi révélé qu’un groupe cybercriminel nord-coréen, Kimusky, parrainé par l’État, ciblait les employés d’organisations en intégrant des codes QR malveillants dans des courriels. Dans un cas précis, un code QR était présenté comme un moyen de télécharger des informations supplémentaires.
Selon les experts en cybersécurité de Planet VPN, fournisseur de réseau privé virtuel (VPN) gratuit, le procédé est similaire quel que soit l’emplacement d’un faux code QR. Après l’avoir scanné, l’utilisateur est souvent redirigé vers un faux site d’hameçonnage imitant un site légitime, comme celui d’un restaurant, où les cybercriminels peuvent tenter de débiter sa carte bancaire. Selon Konstantin Levinzon, cofondateur de Planet VPN, ces arnaques peuvent entraîner non seulement des pertes financières, mais aussi la compromission d’appareils.
« Le quishing est une forme d’hameçonnage, simplement présentée différemment. Un code QR peut baisser la vigilance car cette technologie s’est généralisée pendant la pandémie et la menace reste encore largement méconnue. De plus, le risque lié au clic se déplace d’un lien visible vers un simple scan, ce qui rend le danger plus facile à ignorer. Les attaquants perfectionnent ces tactiques chaque année et trouvent constamment de nouvelles façons de tromper les utilisateurs », explique-t-il.
D’après Levinzon, si les cybercriminels privilégient les codes QR dans les courriels plutôt que les courriels d’hameçonnage classiques, c’est notamment parce que les codes QR contournent souvent les filtres anti-hameçonnage et anti-fraude. En effet, ces filtres analysent généralement uniquement le texte et les liens, mais pas les images. Et même si les filtres anti-spam des courriels sont équipés d’un détecteur de codes QR, les cybercriminels trouvent souvent de nouvelles façons de les contourner, par exemple en utilisant des codes QR de différentes couleurs.
Les chercheurs en cybersécurité de Proofpoint estiment que 4,2 millions de menaces liées aux codes QR ont été recensées au cours du premier semestre de l’année dernière. Cependant, Levinzon indique que ce chiffre est probablement sous-estimé, car de nombreuses arnaques aux codes QR passent inaperçues. Pour se protéger contre cette menace croissante, il est conseillé aux utilisateurs d’être plus vigilants quant au moment et à la raison pour lesquels ils scannent un code QR. Si, après avoir scanné un code QR, une personne est redirigée vers un site web exigeant des informations de paiement ou de connexion, il s’agit d’un signal d’alarme important.
Par ailleurs, si un code QR est envoyé par e-mail par un expéditeur inconnu, Levinzon recommande de contacter directement ce dernier avant de saisir ses identifiants ou de télécharger des fichiers.
« Nous recommandons d’appliquer la même logique partout : restez sceptique, que vous receviez un message d’un collègue ou sur votre compte de réseau social personnel. Toutefois, la vigilance ne suffit pas. Pour une sécurité optimale, les utilisateurs doivent également prendre des mesures de protection élémentaires : utiliser un VPN sur les réseaux Wi-Fi publics, installer rapidement les mises à jour, utiliser des mots de passe robustes et activer l’authentification multi-facteurs sur tous leurs comptes », explique-t-il.
