Comment se prémunir contre le quishing ou les arnaques aux codes QR

Peut-on se faire pirater en scannant un code QR ?

Comprendre l'ensemble des menaces liées aux codes QR vous aide à les reconnaître avant d'en être victime. Voici les schémas d'attaque les plus courants en 2025.

L'astuce de la fausse étiquette

La méthode physique la plus répandue consiste à placer de faux autocollants de codes QR directement par-dessus des codes légitimes – sur des parcmètres, des tables de restaurant, des panneaux de signalisation ou des présentoirs de magasin. Vous pensez ouvrir un lien vers une carte ou payer à un terminal de paiement. En réalité, les détails de votre carte sont directement transmis au faux portail d'un escroc. Une rapide inspection physique – vérifier si le code est bien à plat ou s'il semble avoir été superposé – peut vous éviter complètement ce piège.

Quishing via e-mail et outils bureautiques

Comme les gens scannent généralement les codes QR avec leur téléphone, les URL intégrées contournent les outils de sécurité des ordinateurs de bureau tels que les pare-feu et les bloqueurs d'URL. Cela rend le piratage par code QR via e-mail particulièrement efficace. Le message semble provenir de Microsoft, de votre banque ou du service informatique de votre entreprise – avec logos et mise en page professionnelle.

Pas moins de 27 % de ces attaques de quishing utilisent de fausses alertes d'authentification multifactorielle : « Votre session a expiré – scannez pour vous réauthentifier. » Ce sentiment d'urgence est conçu pour vous empêcher de réfléchir à deux fois.

Codes QR cachés dans des documents et du courrier physique

C'est l'un des dangers les plus sous-estimés du scan des codes QR : un demi-million d'e-mails de phishing contenant des codes QR intégrés dans des pièces jointes PDF ont été détectés rien qu'au milieu de l'année 2024. Le document a l'air légitime – une facture, un relevé de prestations, un avis de livraison – et le code QR qu'il contient semble être un raccourci pratique. La FTC a également signalé une recrudescence des escroqueries par courrier postal, où des liens vers des logiciels malveillants via des codes QR sont imprimés sur de faux bordereaux d'expédition ou de fausses factures de services publics.

Campagnes de « quishing » alimentées par l'IA

L'évolution la plus récente et la plus préoccupante des menaces de cybersécurité liées au quishing concerne les pages de phishing générées par l'IA, qui sont pratiquement impossibles à distinguer des vraies. Les attaquants peuvent désormais créer en quelques minutes une fausse page de réservation ou de connexion PayPal convaincante, adaptée à une cible spécifique, avec une image de marque réaliste et un contenu personnalisé. Cela a considérablement compliqué la prévention de la fraude par code QR, tant pour les particuliers que pour les organisations.

Mais la menace va bien au-delà des fausses pages de connexion. L'IA est désormais utilisée à chaque étape du processus d'attaque, de la sélection de la cible à la livraison, en passant par l'évasion.

• Un appât hyper-personnalisé. Le phishing traditionnel reposait sur des appâts génériques – « votre compte a été suspendu ». Les campagnes alimentées par l'IA puisent dans des données accessibles au public : votre employeur, votre ville, vos achats récents. Il en résulte une arnaque par code QR qui donne l'impression d'avoir été écrite spécialement pour vous, car d'une certaine manière, c'est le cas. Une fausse facture provenant d'un fournisseur que vous connaissez. Un avis de « livraison manquée » correspondant à votre adresse réelle. C'est ce niveau de précision qui rend le quishing moderne si difficile à repérer au premier coup d'œil.
• Renforcement par la voix et le deepfake. Dans les attaques de grande envergure – ciblant généralement les employés des services financiers ou des ressources humaines – des appels vocaux générés par l'IA ou des messages vidéo deepfake précèdent désormais le code QR malveillant. L'appel établit un climat de confiance (« Bonjour, ici le support informatique – vous recevrez un code de vérification sous peu »), et le code QR arrive quelques instants plus tard par e-mail ou SMS. Au moment où la cible le scanne, elle a déjà été conditionnée à obéir.
• Une infrastructure automatisée à grande échelle. Ce qui nécessitait autrefois une expertise technique pour être mis en place – faux domaines, certificats SSL, sites web sosies – peut désormais être généré et renouvelé automatiquement. Les attaquants déploient simultanément des centaines de pages de phishing éphémères, en changeant de domaine assez rapidement pour devancer les listes de blocage. C'est pourquoi les outils de sécurité traditionnels basés sur les URL peinent à suivre : le temps qu'un domaine soit signalé, il a déjà été remplacé.
• L'évasion intégrée à la conception. Les modèles d'IA entraînés sur des schémas de détection de sécurité peuvent désormais générer des codes QR et des pages de destination spécialement conçus pour éviter de déclencher les filtres. Ils imitent la structure visuelle des pages légitimes avec une grande fidélité : graisses de police correctes, champs de formulaire d'apparence authentique, messages d'erreur réalistes lorsque des identifiants erronés sont saisis (une astuce classique pour récolter plusieurs tentatives de mot de passe).

L'implication pratique est simple : les indices visuels et contextuels qui aidaient autrefois les gens à identifier une arnaque deviennent peu fiables. Le scepticisme quant à la source – et pas seulement l'apparence – est désormais le filtre le plus important.