La menace du phishing par code QR
Ces dernières années, une nouvelle menace est apparue dans le paysage de la cybersécurité : le phishing par code QR, communément appelé « quishing ». À l’origine un outil inoffensif permettant de transférer rapidement des informations, les codes QR ont été récupérés par les cybercriminels en raison de leur capacité inégalée à dissimuler sans effort des liens malveillants. Fait alarmant, cette forme de cyberattaque a connu une forte augmentation, passant de seulement 0,8 % des attaques en 2021 à près de 11 % au premier semestre 2024. Cette augmentation indique que les escroqueries par code QR gagnent du terrain parmi les cybercriminels à la recherche de méthodes de phishing efficaces et indétectables.
Comprendre les méthodes de distribution
L’une des raisons pour lesquelles le phishing par code QR est si répandu est la multitude de façons dont les escrocs peuvent distribuer des codes QR. Ils capitalisent sur les canaux qui font partie de la vie quotidienne, infiltrant les boîtes de réception des e-mails, envoyant des SMS trompeurs et publiant des offres trompeuses sur les réseaux sociaux. En outre, les escrocs profitent des espaces physiques en plaçant des codes QR sur des dépliants et des affiches imprimés dans des lieux publics comme les parkings et les centres commerciaux. La nature omniprésente des codes QR aujourd’hui donne aux attaquants une large portée, leur permettant de piéger leurs victimes dans différents environnements.
La nature diverse des escroqueries liées aux codes QR
Les escroqueries par phishing par code QR se présentent sous différentes formes, chacune ciblant différents aspects du comportement humain et des transactions financières. Les escroqueries les plus courantes incluent les tentatives de phishing visant à récupérer des informations personnelles, telles que les identifiants de connexion et les informations financières. Des escroqueries au paiement se produisent également, où les utilisateurs sont amenés à payer via de fausses plateformes, tandis que les escroqueries aux colis se font passer pour des notifications de livraison nécessitant une attention immédiate. L'essor des cryptomonnaies a déclenché des incidents de quishing liés aux cryptomonnaies, et les escroqueries aux dons exploitent l'instinct charitable des individus, en particulier en temps de crise.
Identifier les cibles vulnérables de l’industrie
La menace de quishing est particulièrement prononcée dans certains secteurs. Les secteurs de l’énergie et de l’industrie manufacturière, en raison de leurs infrastructures critiques, ainsi que les assurances, la technologie et les services financiers, sont des cibles de choix pour ces attaques. La nature ciblée de ces attaques reflète la valeur ou la vulnérabilité perçue élevée de ces secteurs, ce qui en fait des cibles attrayantes pour les cybercriminels désireux d’exploiter toute faiblesse potentielle.
Faire face à la sophistication et aux défis
La facilité de création de codes QR à l'aide d'outils en ligne gratuits a contribué à la sophistication de ces attaques. Les cybercriminels peuvent rapidement générer des codes qui semblent légitimes, augmentant ainsi leurs chances de réussite. Les mesures de sécurité traditionnelles ne parviennent souvent pas à contrer le quishing en raison de la nature des codes QR, qui ne contiennent pas de texte ou d'URL détectables par la technologie de sécurité conventionnelle. Seule une petite fraction, environ 36 %, des incidents de phishing par QR sont identifiés et signalés avec précision, ce qui souligne les défis importants auxquels sont confrontés les entreprises et les particuliers pour détecter ces escroqueries.
Bonnes pratiques de prévention
Pour se protéger contre le quishing, les utilisateurs doivent adopter une approche vigilante. Il est essentiel de vérifier la source d'un code QR et de vérifier qu'il n'a pas été falsifié. L'utilisation d'applications d'analyse sécurisées qui permettent aux utilisateurs de prévisualiser les URL avant de cliquer peut empêcher l'accès accidentel à des sites malveillants. Se renseigner sur les signaux d'alarme courants, tels que les codes non sollicités, les URL mal orthographiées et les tactiques de pression, peut améliorer sa capacité à repérer les escroqueries. La mise à jour régulière des logiciels et des applications de sécurité des appareils est une ligne de défense essentielle pour atténuer le risque d'être victime de ces techniques trompeuses.