Attention à la fraude au QR Code : voici comment vous protéger du quishing

Quelqu’un l’a renommé “quishing”, dans le mauvais sens jeu de mots entre code QR et phishing. Si l’étiquette linguistique n’est pas passionnante, le point est pourtant très clair : le fraude perpétrée grâce aux codes-barres bidimensionnels omniprésents matrice à travers les canaux les plus divers. De ceux, classiques, deenvoi d’e-mails contenant des codes QR malveillants à leur utilisation physique, avec autocollants apposés par exemple sur les parcomètres ou se chevauchant avec ceux, légitimes et peut-être utilisés pour des paiements, dans de nombreux lieux publics. Pensez simplement au menus des restaurantsdésormais largement dématérialisé grâce à l’utilisation de ces formes en noir et blanc.

L’avertissement de la FTC américaine

La dernière alarme vient de nul autre que Statut de la Commission fédérale du commerce qui a alerté l’opinion publique sur vous risquez de scanner des codes QR anciens ou peu clairs avec une intervention par lui-même blog officiel. Comme nous l’avons dit, les méchants de toutes sortes peuvent placer pièges qui, comparé au phishing traditionnel relégué à la sphère purement numérique, ils ont l’avantage de pouvoir être imprimés ou transformés en stickers et placé un peu partout. Attendre que quelqu’un, tôt ou tard, tombe dans le piège, composer un code avec son appareil photo et peut-être – convaincu qu’il paie pour le parking ou un autre produit – saisir les informations de sa carte de crédit. Ou même simplement les détails d’accès à certains services pour être volés et utilisés à volonté.

John Fokkerqui dirige les renseignements sur les menaces au sein de la société de cybersécurité Trellix, a expliqué au New York Times qu’il avait identifié “60 000 cas d’attaques par code QR” seul au troisième trimestre de cette année. Parmi les cas les plus fréquents figurent celui escroqueries par courrier électronique, e-mails qui simulent l’entreprise pour laquelle vous travaillez, de faux coursiers qui demandent de scanner le code pour reprogrammer une livraison fantôme mais aussi – comme cela s’est produit l’année dernière au Texas – des codes QR malveillants placés sur les parcomètres et qui, évidemment, adressaient les gens à un faux site de paiement.

Les différentes techniques d’attaque

VenirItalieil y a quelques semaines, le fournisseur de services de messagerie Harmony Email a publié une étude dans laquelle il était dit que le groupe avait enregistré un monstrueux Augmentation de 587 % des escroqueries par phishing via le code QR entre août et septembre derniers. Selon Statista, en 2022 aux États-Unis, environ 89 millions d’utilisateurs ont scanné un code QR avec leur smartphone, soit une augmentation de 26 % par rapport à 2020. L’habitude de scanner les codes QR devrait augmenter de manière constante et atteindre plus de 100 millions d’utilisateurs. aux États-Unis d’ici 2025.

Les experts de la société de sécurité Barracuda ont plutôt analysé quelques exemples de techniques utilisé par les cybercriminels. Elles vont des liens de phishing, la tactique par laquelle les attaquants insèrent des codes QR dans les messages de phishing qui incitent les utilisateurs à scanner le code et ainsi visiter une fausse page, au téléchargement de logiciels malveillants et même d’appareils compromis. Dans ce dernier cas, les codes QR peuvent également être utilisés pour accéder aux sites de paiement, suivre les comptes de réseaux sociaux et même envoyer des e-mails prédéfinis à partir des comptes des victimes. Cela signifie que les pirates peuvent facilement usurper leur identité et cibler d’autres utilisateurs parmi leurs contacts.

Comment se protéger des codes QR malveillants

Alors comment se défendre des abus de ces codes bidimensionnels, inventés au Japon au début des années 1990 ? La FTC elle-même suggère – à l’instar de ce qui devrait être fait avec le phishing classique – de ignorer les e-mails inattendus ou d’autres messages contenant toutes sortes de demandes urgentes. Et aussi Il est utile de vérifier l’URL affiché à l’écran pendant l’analyse pour vous assurer qu’il s’agit d’un site de confiance. D’un autre côté, même un code QR légitime peut afficher une adresse Web raccourcie qui prête à confusion et n’a aucun sens. Par conséquent, si vous savez quel site vous avez l’intention de visiter, il est préférable de créer un lien direct. Les experts recommandent également de ne pas utiliser d’applications tierces pour scanner les codes QR mais d’utiliser directement les caméras Android et iOS (et plus simplement). Garder un minimum de sens critique sur les QR codes qui se trouvent là où on ne les attend pas : s’il existe des méthodes alternatives, il vaut peut-être mieux les utiliser.