Alors que les logiciels anti-spam s’améliorent dans la détection et le blocage du phishing, une nouvelle méthode émerge : le quishing.
Arnaque : après le phishing, vient le quishing…..
Par
Modifié le 23 janvier 2024 à 19h00
Qu'est-ce que le quishing ?
Les pirates informatiques, jamais à court d'imagination, ont trouvé dans les QR codes un nouveau terrain de jeu. Ces petits carrés noirs et blancs sont devenus omniprésents dans notre vie quotidienne. Leur simplicité et leur ubiquité en font de parfaits vecteurs pour des campagnes malveillantes. La nouveauté du Quishing par rapport aux campagnes de phishing ? Les cybercriminels intègrent des QR codes à leurs campagnes d'emails pour rediriger leurs victimes vers des sites malveillants. Ces codes-barres sont d'autant plus redoutables qu'ils échappent aux filtres anti-spam et anti-phishing.
Les attaques de quishing posent un problème particulièrement sérieux, car elles capitalisent sur la confiance et la familiarité que nous avons avec les QR codes depuis la crise sanitaire. Ces derniers font partie de notre environnement depuis maintenant plusieurs années. On les retrouve souvent au coin d'une table de restaurant, sur des flyers, sur certains sites internet, etc. Et comme les smartphones sont souvent moins bien protégés que les ordinateurs de bureau, nos appareils mobiles deviennent une cible privilégiée pour les cybercriminels. Les attaques de quishing commencent généralement par un email incitant à scanner un QR code, menaçant parfois de bloquer le compte de l'utilisateur en cas de non-conformité. Une fois le code scanné avec un téléphone, le piège se referme et votre appareil se trouve compromis.
Comment éviter le quishing ?
La clé pour éviter de tomber dans le piège du quishing est la même que pour le phishing : la prudence. Partez du principe qu'il ne faut jamais scanner un QR code provenant d'une source inconnue et veillez à toujours vérifier la source du QR code avant de procéder au scan. Les QR codes reçus par email sont particulièrement à risque, et il est plus qu'inhabituel qu'une entreprise utilise cette méthode pour vérifier un compte. Pour le moment, le quishing se manifeste essentiellement via des emails, mais rien n'indique que les cybercriminels ne franchiront pas le cap du monde réel. Soyez sceptique face aux QR codes que vous rencontrez dans l'espace public, il pourrait s'agir de leurres. Vous pouvez également utiliser des applications type QRBot qui permettent de connaître l'origine d'un QR code sans avoir besoin de l'ouvrir.
Que ce soit le phishing ou le quishing, les cybercriminels utilisent le même mode opératoire. Plusieurs signaux doivent vous alerter : l'email ou le SMS incite-t-il à une action immédiate ? Demande-t-il vos informations personnelles via une redirection sur un site web ? Présente-t-il une mise en page peu professionnelle ? Ces indices peuvent signaler une tentative de quishing.