TL;DR
- Le quishing, ou hameçonnage par code QR, est une fraude qui utilise un code QR pour diriger une personne vers un site Web malveillant.
- Les fraudeurs peuvent placer un faux code QR sur un avis de stationnement, une affiche publique ou dans un courriel qui semble provenir d’une entreprise connue.
- Avant d’ouvrir un lien, vérifiez l’adresse du site Web et méfiez-vous des demandes urgentes de paiement ou de renseignements personnels.
- Si vous avez communiqué votre mot de passe ou vos informations bancaires, agissez rapidement pour sécuriser vos comptes.
- Pour les entreprises québécoises, la sensibilisation des employés et la vérification des codes QR sont essentielles pour réduire les risques.
Vous êtes devant un parcomètre à Montréal et vous apercevez un code QR permettant, semble-t-il, de payer votre stationnement. Vous sortez votre téléphone, numérisez le code et arrivez sur une page qui vous demande votre numéro de carte de crédit.
Mais comment savoir si cette page est véritablement associée au service de stationnement?
Cette situation illustre le fonctionnement possible du quishing, une technique d’hameçonnage qui exploite les codes QR pour tromper les utilisateurs.
Les codes QR sont pratiques pour consulter un menu, accéder à un événement, obtenir des renseignements ou effectuer un paiement. Toutefois, cette simplicité peut aussi être exploitée par des cybercriminels.
Découvrez comment reconnaître les arnaques par code QR, comprendre leurs risques et adopter les bons réflexes pour protéger vos renseignements personnels et professionnels.
Qu’est-ce que le quishing?
Le quishing est une forme d’hameçonnage qui utilise un code QR pour inciter une personne à visiter un site frauduleux.
Le terme anglais combine les mots QR code et phishing. En français, on parle d’hameçonnage par code QR.
Le fonctionnement est relativement simple :
- Un fraudeur crée un code QR menant vers une page Web malveillante.
- Il place ce code sur un support crédible : affiche, courriel, autocollant ou faux avis de paiement.
- Une personne numérise le code avec son téléphone.
- Le site ouvert lui demande des renseignements personnels, des identifiants ou des informations bancaires.
- Le fraudeur tente de récupérer ces informations ou d’amener la victime à effectuer une autre action risquée.
Un code QR n’est donc pas dangereux en lui-même. Le risque provient notamment du lien qu’il contient ou de l’action qu’il déclenche.
Quelle est la différence entre le quishing et l’hameçonnage traditionnel?
L’hameçonnage traditionnel utilise généralement un courriel, un texto ou un message frauduleux pour inciter une personne à cliquer sur un lien malveillant.
Le quishing poursuit souvent le même objectif, mais remplace le lien visible par un code QR.
Cette différence est importante : lorsqu’une adresse Web est cachée dans une image, il devient plus difficile de reconnaître immédiatement une destination suspecte.
De plus, un courriel contenant un code QR frauduleux peut parfois échapper aux mécanismes de sécurité qui analysent les liens malveillants dans les messages.
C’est pourquoi les utilisateurs doivent vérifier la destination d’un code QR avec autant de prudence que celle d’un lien reçu par courriel.
Comment fonctionne une arnaque par code QR au Québec?
Les tentatives de quishing peuvent se présenter dans des situations très courantes.
1. Un faux code QR sur un avis de stationnement
Imaginez qu’un automobiliste trouve un avis sur son pare-brise indiquant qu’il doit régler des frais de stationnement.
L’avis contient un code QR accompagné d’un message lui demandant de payer rapidement pour éviter des pénalités supplémentaires.
Le code mène vers une page qui imite un service officiel et demande les informations de sa carte de crédit.
Une fraude semblable peut également utiliser un autocollant placé sur une borne de paiement.
Le bon réflexe : ne payez jamais à partir d’un code QR douteux. Vérifiez les modalités de paiement directement auprès de l’organisme concerné, à partir de son site officiel ou de son application reconnue.
2. Un code QR ajouté sur une affiche publique
Les codes QR peuvent être utilisés sur des affiches publicitaires, dans des commerces, sur des panneaux d’information ou lors d’événements.
Un fraudeur pourrait coller un autocollant comportant un faux code QR par-dessus un code légitime.
Une personne croyant consulter un menu, une promotion ou un formulaire d’inscription pourrait alors être dirigée vers un site frauduleux.
Le bon réflexe : examinez le code avant de le numériser. S’il semble avoir été collé par-dessus une autre étiquette, demandez confirmation à l’établissement.
3. Un courriel professionnel contenant un code QR
Un employé d’une PME québécoise reçoit un courriel semblant provenir de son service informatique.
Le message lui demande de numériser un code QR pour vérifier son compte Microsoft 365 ou confirmer ses accès.
Après avoir ouvert le lien, il arrive sur une fausse page de connexion.
S’il fournit son identifiant, son mot de passe ou un code de vérification, un fraudeur pourrait tenter de compromettre son compte professionnel.
Le bon réflexe : pour une demande inattendue, communiquez directement avec le service informatique en utilisant un moyen déjà connu.
4. Une fausse communication d’un service connu
Une tentative de quishing peut également prendre la forme d’un message imitant une entreprise de livraison, une institution financière ou un service public.
Le message pourrait annoncer :
- un colis en attente de livraison;
- un remboursement à réclamer;
- un paiement refusé;
- une contravention à régler;
- une vérification de compte obligatoire.
La présence d’un logo connu ne garantit pas l’authenticité du message.
Comment reconnaître un code QR frauduleux?
Il n’est pas toujours possible de reconnaître un code QR malveillant simplement en regardant son apparence.
Cependant, certains indices peuvent révéler une tentative de quishing.
Une demande inhabituelle ou urgente
Un message vous demande de payer immédiatement, de confirmer votre identité ou de modifier votre mot de passe sous peine de conséquences?
Cette pression devrait vous inciter à vérifier la demande avant d’agir.
Un code QR placé sur un autocollant suspect
Si un code QR semble avoir été ajouté par-dessus une affiche, un avis ou une borne, soyez prudent.
Il peut s’agir d’une modification légitime, mais une vérification est nécessaire.
Une adresse Web inhabituelle
Avant d’ouvrir le site, vérifiez l’adresse affichée par votre téléphone.
Méfiez-vous notamment :
- des noms de domaine inconnus;
- des fautes dans le nom d’une entreprise;
- des lettres ou caractères remplacés;
- des adresses qui ne correspondent pas au service annoncé;
- des liens raccourcis qui masquent la destination.
Attention : la présence de HTTPS ou d’un cadenas ne garantit pas qu’un site est légitime.
Une demande de renseignements sensibles
Un site qui demande immédiatement un mot de passe, un numéro de carte de crédit ou un code d’authentification mérite une vérification supplémentaire.
Lorsque c’est possible, ouvrez directement le site officiel ou l’application habituelle du service.
Comment vérifier la destination d’un code QR?
La vérification d’un code QR ne demande pas nécessairement d’outil spécialisé.
Voici une méthode simple :
- Utilisez la caméra de votre téléphone. Évitez d’installer une application inconnue uniquement pour lire un code QR.
- Examinez l’aperçu du lien. Ne l’ouvrez pas automatiquement.
- Vérifiez le nom de domaine. Assurez-vous qu’il correspond réellement à l’organisation annoncée.
- Évaluez le contexte. Est-il normal que ce service vous demande un paiement ou une connexion?
- Passez par le site officiel en cas de doute. Saisissez son adresse vous-même ou utilisez une application déjà installée et reconnue.
Ces précautions peuvent réduire les risques d’arnaque par code QR, particulièrement lorsqu’un code se trouve dans un lieu public ou dans une communication inattendue.
Un code QR peut-il infecter votre téléphone?
Un code QR est généralement une manière d’encoder de l’information, comme une adresse Web. Le simple fait de le numériser ne signifie donc pas automatiquement que votre téléphone est infecté.
Toutefois, certains codes peuvent vous rediriger vers des sites malveillants, déclencher des téléchargements ou vous inciter à installer une application dangereuse.
Le risque dépend notamment de ce que vous faites après avoir ouvert le lien et de la sécurité de votre appareil.
Pour réduire les risques :
- gardez votre système d’exploitation à jour;
- évitez les téléchargements provenant de sources inconnues;
- refusez les autorisations inhabituelles;
- utilisez les protections intégrées à votre appareil;
- vérifiez les liens avant de les ouvrir.
Le Centre canadien pour la cybersécurité recommande également de configurer les appareils pour qu’ils demandent une confirmation avant d’exécuter les actions associées aux codes QR.
Que faire après avoir numérisé un code QR suspect?
Vous avez numérisé un code QR et réalisé que le site semble frauduleux? Les mesures à prendre dépendent de ce que vous avez fait.
Si vous avez seulement ouvert le lien
- Fermez la page suspecte.
- Ne remplissez aucun formulaire.
- Ne téléchargez aucun fichier.
- Vérifiez que votre téléphone et vos applications sont à jour.
- Surveillez tout comportement inhabituel de votre appareil.
Le simple fait d’avoir ouvert une page ne signifie pas nécessairement que vos renseignements ont été volés.
Si vous avez communiqué votre mot de passe
- Changez immédiatement le mot de passe du compte concerné à partir du site officiel.
- Modifiez les mots de passe réutilisés sur d’autres comptes.
- Activez l’authentification multifacteur.
- Vérifiez les connexions récentes et les appareils associés au compte.
- Avisez votre service informatique si le compte est professionnel.
Si vous avez fourni des informations bancaires
Communiquez rapidement avec votre institution financière en utilisant son numéro officiel.
Demandez quelles mesures doivent être prises pour protéger vos comptes ou votre carte et vérifiez les transactions récentes.
Si vous avez téléchargé un fichier ou installé une application
Évitez de poursuivre l’utilisation de l’application suspecte. Faites vérifier votre appareil à l’aide d’un outil de sécurité fiable ou par un professionnel qualifié.
Si l’appareil appartient à votre employeur, prévenez immédiatement le service informatique et suivez ses consignes.
Vous pouvez également consulter notre article sur l’intervention en cas d’incident informatique pour mieux comprendre les étapes à suivre après une cyberattaque.
Comment les entreprises québécoises peuvent-elles prévenir le quishing?
Le quishing ne concerne pas uniquement les particuliers. Les PME peuvent aussi être ciblées, notamment lorsque leurs employés utilisent des codes QR pour accéder à des documents, des services ou des applications professionnelles.
Une entreprise peut réduire ses risques en adoptant plusieurs mesures.
Sensibiliser les employés
Expliquez les différentes formes d’hameçonnage et montrez des exemples concrets de courriels contenant des codes QR frauduleux.
Les employés devraient savoir qu’un code QR doit être vérifié comme n’importe quel lien Web.
Sécuriser les comptes
L’authentification multifacteur, les mots de passe uniques et la limitation des accès peuvent aider à réduire les conséquences d’une tentative de vol d’identifiants.
Vérifier les codes QR diffusés par l’entreprise
Les commerces, restaurants et organisateurs d’événements devraient vérifier régulièrement les codes QR affichés dans leurs locaux.
Ils peuvent également privilégier des adresses Web officielles faciles à reconnaître.
Prévoir une procédure de signalement
Les employés devraient savoir à qui transmettre un courriel suspect ou signaler un code QR douteux.
Une réaction rapide peut aider à protéger d’autres personnes contre la même tentative de fraude.
Pour approfondir la prévention, consultez notre article sur les principales menaces en cybersécurité.
Liste de vérification : comment éviter une arnaque par code QR?
Avant de numériser un code QR, prenez quelques secondes pour vérifier les éléments suivants :
- Le code provient-il d’une source fiable?
- Est-il placé sur un support officiel, sans autocollant suspect?
- L’adresse Web correspond-elle au service annoncé?
- Le message évite-t-il de vous mettre une pression inhabituelle?
- La demande de paiement ou de connexion est-elle attendue?
- Pouvez-vous accéder au même service par son site officiel?
- Votre appareil est-il à jour?
- Savez-vous comment signaler un code suspect?
Cette liste peut servir de rappel aux particuliers comme aux employés d’entreprises québécoises.
Pourquoi comprendre le quishing lorsqu’on étudie la cybersécurité?
Le quishing illustre un aspect essentiel de la cybersécurité : les attaques ne reposent pas toujours sur des techniques informatiques complexes.
Elles exploitent aussi la confiance, les habitudes quotidiennes et le manque de vigilance.
Pour les futurs professionnels, comprendre ces attaques permet de développer des compétences en :
- reconnaissance des tentatives d’hameçonnage;
- analyse des menaces numériques;
- protection des renseignements;
- sensibilisation des utilisateurs;
- sécurité des comptes;
- gestion des risques;
- intervention après un incident.
L’AEC en Cybersécurité du Collège Cumberland permet de développer des connaissances en sécurité de l’information, en protection des systèmes, en analyse des menaces et en gestion des risques.
Grâce à une formation orientée vers la pratique, les étudiants peuvent apprendre à mieux comprendre les cybermenaces et les méthodes utilisées pour protéger les organisations.
Le quishing démontre qu’une attaque informatique peut commencer par un geste aussi simple que la numérisation d’un code QR.
Qu’il s’agisse d’un faux avis de stationnement, d’une affiche modifiée ou d’un courriel professionnel trompeur, la meilleure protection consiste à prendre le temps de vérifier la source et la destination du lien.
Pour les particuliers et les entreprises québécoises, reconnaître les signes d’hameçonnage et savoir réagir après un incident peut faire une différence importante.
Vous souhaitez développer vos compétences en cybersécurité?
Apprenez à identifier les cybermenaces, à analyser les incidents et à protéger les systèmes informatiques grâce à l’AEC en Cybersécurité du Collège Cumberland.
FAQ
Qu’est-ce que le quishing?
Le quishing est une forme d’hameçonnage utilisant des codes QR frauduleux pour diriger des personnes vers des sites malveillants. Les fraudeurs cherchent généralement à obtenir des identifiants, des renseignements personnels ou des informations bancaires.
Quelle est la différence entre le phishing et le quishing?
Le phishing, ou hameçonnage, utilise notamment des courriels ou des messages trompeurs pour inciter les victimes à ouvrir des liens frauduleux. Le quishing utilise plutôt un code QR pour dissimuler la destination du lien.
Comment reconnaître un code QR frauduleux?
Il faut vérifier sa provenance, examiner l’adresse Web avant de l’ouvrir et se méfier des demandes urgentes de paiement ou de renseignements personnels. Un code QR collé par-dessus une affiche officielle peut également être suspect.
Un code QR peut-il être dangereux?
Oui. Un code QR peut mener vers un site frauduleux, un téléchargement malveillant ou une fausse page de connexion. Le risque vient généralement de la destination du code et des actions réalisées ensuite.
Que faire après avoir scanné un code QR suspect?
Fermez la page suspecte et évitez de fournir des informations. Si vous avez communiqué un mot de passe, modifiez-le immédiatement. Si vous avez transmis des données bancaires, contactez votre institution financière. Signalez également l’incident à votre service informatique si un compte professionnel est concerné.
Comment les entreprises peuvent-elles prévenir les attaques par quishing?
Elles peuvent sensibiliser leurs employés, sécuriser les comptes avec l’authentification multifacteur, vérifier leurs codes QR publics et établir une procédure claire pour signaler les communications suspectes.
