Quishing : Comment éviter les attaques de phishing par QR code

Les QR codes sont devenus essentiels dans nos interactions avec les personnes et les produits. Un simple scan avec votre téléphone suffit pour échanger des informations de contact, accéder à des lieux et acheter en ligne. Cependant, leur utilisation répandue a attiré des cybercriminels qui trouvent maintenant facile de créer de faux QR codes malveillants, entraînant une nouvelle menace de phishing appelée “quishing”. Voici notre conseil sur les attaques de quishing avec quelques conseils pratiques pour vous protéger.

Qu’est-ce que le Quishing ?

Le quishing, également connu sous le nom de phishing par QR code, est une menace cybernétique qui profite à la commodité et à la popularité des QR codes. Les cybercriminels utilisent de faux QR codes pour tromper les gens afin qu’ils visitent de faux sites Web. Ils peuvent ensuite essayer d’accéder à vos informations personnelles telles que les identifiants de connexion et les mots de passe, d’installer des logiciels malveillants sur votre appareil ou de voler vos informations financières.

Selon Egress, entre le 1er janvier et le 31 août 2024, au moins 12 % des attaques de phishing impliquaient des QR codes, un net regain par rapport à seulement 0,8 % en 2021. Cette augmentation significative du quishing témoigne de la généralisation croissante de la technologie QR. De plus, des kits de phishing sur le dark web, tels que “FishXProxy”, utilisent les QR codes comme choix populaire pour les attaques de prise de contrôle de compte (ATO).

Le problème est que la réalisation d’une attaque de quishing est relativement facile, car tout le monde peut générer un QR code. Ces codes peuvent être placés pratiquement partout : sur des tracts, des affiches, des t-shirts, des sacs à dos, et à travers des outils de phishing conventionnels comme les e-mails et les réseaux sociaux. La plupart des gens considèrent les QR codes comme inoffensifs. Vous n’êtes en danger que lorsque vous visitez les sites Web contrefaits liés à ces codes.

Comment fonctionne le Phishing par QR

Le phishing par QR tire parti de l’utilisation généralisée des smartphones et des QR codes. Même les ordinateurs portables peuvent scanner ces codes. Les attaquants n’ont besoin que de créer un QR code apparemment légitime qui renvoie à un site Web malveillant ou à des fichiers de logiciels malveillants.

Créer un QR code avec une intention malveillante est la partie facile. Le défi réside dans la persuasion des gens à scanner ces images. C’est là que l’ingénierie sociale entre en jeu. Les attaquants peuvent utiliser diverses tactiques d’imitation, promettre des récompenses ou créer un sentiment d’urgence. En conséquence, de nombreux types d’attaques de quishing ont évolué. Les plus courantes incluent :

1. QRLJacking

C’est la forme d’attaque par quishing la plus simple mais difficile à détecter. Les cybercriminels créent un QR code lié à un site Web qui imite de près une application légitime nécessitant un accès par QR code. Cela pourrait être pour des applications comme WhatsApp, Discord, TikTok ou même votre site bancaire.

La plupart d’entre nous n’inspectent pas les modules de données noir et blanc codant un site Web réel, rendant facile de se faire tromper et de donner des informations de connexion. Les attaquants téléchargent ensuite votre connexion récente sur un serveur de phishing, leur offrant une chance de prendre le contrôle de votre session plus tard. Heureusement, activer l’authentification à deux facteurs rend les attaques de QRLJacking presque impossibles à exécuter. De nombreux sites Web surveillent les tentatives de connexion suspectes et vous alerteront à temps.

2. Phishing par QR en texte simple

Dans une tentative de phishing par QR en texte simple, les attaquants intègrent des QR codes nuisibles dans des e-mails, des SMS et des discussions sur les réseaux sociaux. Le pire, c’est que ces codes peuvent sembler provenir de contacts de confiance, car les attaquants ont peut-être eu accès à leurs comptes.

Le modus operandi est simple : les attaquants peuvent promettre une récompense lucrative, bien que de nombreux utilisateurs soient désormais méfiants de telles tactiques. Alternativement, ils pourraient prétendre qu’il y a eu des tentatives de connexion suspectes sur un site comme Amazon. En réalité, les attaquants essaient de capturer vos informations de connexion via le QR code.

3. Formjacking

Le formjacking est une méthode courante utilisée pour voler des informations financières, telles que les détails de carte de crédit, en attirant les utilisateurs vers des sites Web non soupçonnés. Les utilisateurs peuvent soumettre directement leurs informations de paiement, qui sont ensuite volées à l’aide d’un script malveillant sur la page.

Alternativement, on peut leur demander de remplir un formulaire, souvent déguisé en enquête avec des récompenses promises, pour recueillir des réponses à des questions de sécurité comme la date de naissance, le lieu de naissance, le nom de la mère et d’autres détails personnels.

Ce type de menace cybernétique avait été en déclin, car la plupart des utilisateurs sont devenus prudents vis-à-vis des sites de formulaires malveillants. Cependant, la popularité récente des QR codes a prêté un sentiment de légitimité à ces sites, ravivant la menace du formjacking.

4. Autres types de tentatives de phishing par QR

Il existe plusieurs autres types de tentatives de phishing par QR que vous pourriez rencontrer de façon inattendue. Il est essentiel de rester vigilant et conscient de ces méthodes.

• Phishing QR par malware : ces QR codes vous dirigent vers des sites Web infestés de logiciels malveillants ou lancent le téléchargement de chevaux de Troie malveillants ou de rootkits. L’objectif est d’accéder de manière non autorisée aux ressources de votre système. Utiliser un logiciel antivirus avec des fonctionnalités telles qu’un pare-feu, une protection par e-mail et Web, ainsi qu’une défense contre le phishing peut aider à se protéger contre ces menaces.
• Phishing QR crypto : ces outils sont largement disponibles sur le dark web. Ils attirent des utilisateurs sans méfiance vers des sites apparemment inoffensifs, qui injectent ensuite des scripts malveillants qui restent indétectés. Les scripts exploitent le système cible pour miner des cryptomonnaies sans le consentement de l’utilisateur. En conséquence, l’utilisateur peut connaître des jours de lenteur de performance de l’ordinateur, des redémarrages fréquents et d’autres problèmes de performance.
• Phishing QR basé sur des macros : bien que relativement rare aujourd’hui, l’ancienne astuce consistant à intégrer des macros dans des documents Excel, Word ou PDF pour installer des logiciels malveillants ou voler des informations a maintenant une tournure de QR code. Cependant, ces fichiers devraient être automatiquement bloqués sur les appareils disposant d’un logiciel antivirus à jour ou de smartphones mis à jour.

Pourquoi est-il si facile de devenir victime d’une attaque de Quishing ?

Il est clair que devenir victime d’une tentative de phishing par QR code est relativement commun. Voici quelques raisons pour lesquelles les escrocs utilisent avec succès cet outil trompeur, et pourquoi vous devriez devenir plus vigilant face à ces menaces.

• Confiance implicite dans les QR codes : le scan de QR codes est une technologie relativement nouvelle et à la mode, et de nombreux utilisateurs lui accordent une confiance inhérente en raison d’un manque de sensibilisation aux menaces potentielles. Il est important de se rappeler que les QR codes représentaient près de 12 % de toutes les tentatives de phishing. Faire confiance aveuglément aux QR codes n’est plus d’actualité.
• L’imitation de marque est facile : Il est facile d’imiter des marques populaires comme Telegram, WhatsApp, TikTok, Amazon et bien d’autres. La plupart des utilisateurs ne vérifient pas si une URL est légitime. Par exemple, un site comme “AmazonAws.com” peut sembler digne de confiance, mais il s’agit en réalité d’un site malveillant sans lien avec Amazon ou Azure. Cela donne aux escrocs un avantage dans certaines situations.
• Liens invisibles : la plupart des utilisateurs sont prudents lorsqu’il s’agit de visiter des URL raccourcies et des liens inconnus. Cependant, avec un QR code, ces liens sont cachés derrière une image qui semble légitime. Cela donne une fausse crédibilité à des liens qui ne devraient pas être visités en premier lieu.

Comment éviter une attaque de Quishing

Les QR codes sont omniprésents, apparaissant sur des panneaux d’affichage, des enveloppes scellées, des vêtements, des accessoires et partout sur le web et les réseaux sociaux. Même si seule une petite fraction de ces codes peut contenir des liens malveillants, il peut sembler qu’il est inévitable de devenir une victime. Mais cela ne doit pas être le cas. En prenant les précautions suivantes, vous pouvez rester en sécurité contre les attaques de quishing.

• Utilisez uniquement des sources fiables : Si vous utilisez un QR code affiché de manière proéminente dans un restaurant, un centre commercial ou un lieu de concert, il est probablement légitime. Il est évident que ces QR codes sont destinés à un usage public large. En revanche, les QR codes reçus par e-mails, via les réseaux sociaux et des liens Web aléatoires nécessitent plus de vérification.
• Évitez les QR codes aléatoires : vous pourriez tomber sur des QR codes aléatoires sur des tracts, des emballages et d’autres endroits qui n’apportent pas beaucoup de valeur. Évitez de scanner ces codes.
• Avant de cliquer, prévisualisez le QR code : presque toutes les applications de scan QR vous permettent de prévisualiser le QR code avant de cliquer. Si le lien a l’air suspect, résistez à l’envie.
• Activez l’authentification à deux facteurs : l’utilisation de l’authentification à deux facteurs est un excellent rempart contre les tentatives de quishing sur les applications et sites populaires.
• Conscience constante : alors que les arnaques de phishing par QR émergent comme une menace de sécurité significative, rester informé des dernières nouvelles en cybersécurité peut fournir des informations précieuses sur les nouvelles variantes de menaces.

Dans ce guide, nous avons vu ce qu’est le quishing et comment vous pouvez vous protéger d’une attaque de quishing. C’est juste une forme d’attaques de phishing : il y en a beaucoup d’autres, comme celles qui ciblent les acheteurs du Black Friday. Vous devez également être prudent face aux arnaques du jour Amazon Prime.