Le Quishing : quand le QR code de votre menu de restaurant devient une arme de hacker

C'est quoi le quishing, au juste ?

Le mot est moche, on l'avoue, mais le concept est redoutablement simple : quishing = QR code + phishing. Au lieu d'envoyer un email piégé avec un lien pourri, le hacker planque son lien malveillant derrière un bon vieux QR code. Vous le scannez avec votre smartphone, confiant comme toujours, et hop, vous atterrissez sur un faux site qui va vous demander vos identifiants bancaires, vos codes d'accès pro, ou carrément installer un logiciel espion.

Le truc malin (et vicieux), c'est que le QR code masque totalement l'URL de destination. Contrairement à un lien classique où on peut survoler avec la souris pour voir où ça mène, là, impossible de savoir à l'avance. C'est un peu comme ouvrir un colis sans étiquette d'expéditeur : on ne sait jamais vraiment ce qu'il y a dedans avant de l'ouvrir.

Pourquoi ça marche aussi bien ?

Parce qu'on a été super bien dressés à scanner des QR codes sans réfléchir depuis le COVID. Menu de restaurant, carte de visite, affiche publicitaire, ticket de parking, flyer dans le métro... le QR code est devenu un réflexe presque aussi naturel que de respirer. Et c'est exactement ce sur quoi comptent les attaquants.

• Les filtres anti-phishing classiques sont aveugles. Les antivirus et les passerelles mail scannent le texte et les liens, mais une image de QR code intégrée dans un PDF ou une pièce jointe passe souvent sous les radars.
• On scanne avec son téléphone perso, souvent moins protégé que l'ordinateur pro, parfois sans antivirus ni VPN d'entreprise.
• La confiance visuelle fonctionne à fond. Un QR code collé sur une vraie borne de recharge électrique, un vrai parcmètre ou un vrai menu physique inspire confiance instantanément.

Des exemples bien réels (et un peu flippants)

Ces derniers mois, plusieurs vagues d'attaques ont fait du bruit :

• Des faux autocollants QR code collés par-dessus les vrais sur des bornes de recharge pour véhicules électriques, menant vers de faux sites de paiement.
• Des emails professionnels se faisant passer pour la DRH ou le service IT, contenant un QR code à scanner « pour mettre à jour votre authentification multifacteur » (MFA), menant en réalité vers un faux portail Microsoft 365.
• De faux PV de stationnement glissés sous les essuie-glaces, avec un QR code pour « payer rapidement l'amende ».

Dans tous ces cas, le scénario est le même : une fausse urgence, une fausse autorité, et un QR code qui évite toute vérification humaine du lien.

Comment repérer et éviter le piège

Pas besoin d'être ingénieur en cybersécurité pour se protéger, quelques réflexes simples suffisent déjà à faire 80% du boulot :

• Ne scannez jamais un QR code par simple curiosité s'il arrive dans un contexte inattendu (email surprise, autocollant mal collé, flyer suspect).
• Vérifiez toujours l'URL affichée avant de cliquer : la plupart des apps caméra modernes affichent un aperçu du lien avant d'ouvrir le navigateur. Prenez 3 secondes pour la lire.
• Méfiez-vous des raccourcisseurs d'URL (bit.ly, tinyurl, etc.) planqués derrière un QR code : ils masquent la vraie destination.
• Ne saisissez jamais d'identifiants ou de coordonnées bancaires juste après avoir scanné un QR code, surtout si le site demande une « reconnexion urgente ».
• Inspectez physiquement les QR codes dans les lieux publics : un autocollant légèrement décalé ou de qualité différente sur un parcmètre, c'est louche.

Petit script pour les curieux (et les équipes IT)

Si vous voulez vérifier rapidement où mène un QR code sans passer par votre téléphone, vous pouvez extraire et analyser l'URL en Python avec la librairie pyzbar :

from pyzbar.pyzbar import decode
from PIL import Image
import requests

image = Image.open('qrcode_suspect.png')
resultats = decode(image)

for code in resultats:
    url = code.data.decode('utf-8')
    print('URL détectée :', url)

    # On vérifie la redirection finale sans exécuter de script côté client
    try:
        reponse = requests.head(url, allow_redirects=True, timeout=5)
        print('Destination finale :', reponse.url)
        print('Code HTTP :', reponse.status_code)
    except requests.RequestException as e:
        print('Erreur lors de la vérification :', e)

Ce petit bout de code permet de voir la destination finale réelle avant de l'ouvrir dans un navigateur, un bon réflexe pour les équipes techniques qui reçoivent des QR codes suspects à analyser.

Et côté entreprise, on fait quoi ?

Si vous gérez un site, une boutique physique ou que vous envoyez des QR codes à vos clients (facture, programme de fidélité, accès wifi), quelques bonnes pratiques s'imposent :

• Signez et sécurisez vos QR codes générés dynamiquement, avec un domaine officiel reconnaissable (évitez les raccourcisseurs génériques).
• Formez vos équipes au quishing au même titre que le phishing classique : un QR code dans un email RH ou IT doit déclencher autant de méfiance qu'un lien suspect.
• Surveillez vos QR codes physiques (affiches, bornes, vitrines) régulièrement pour détecter d'éventuels autocollants frauduleux collés par-dessus.
• Mettez en place une authentification multifacteur résistante au phishing (type clés FIDO2) plutôt que des codes à usage unique facilement détournables.

Le mot de la fin

Le quishing n'est pas de la science-fiction, c'est une technique bien réelle qui exploite notre confiance aveugle envers un petit carré noir et blanc devenu omniprésent dans notre quotidien. La bonne nouvelle, c'est qu'avec un minimum de vigilance (et un peu de bon sens), on évite facilement le piège. Chez YouOnline, on accompagne nos clients aussi bien sur la création de sites performants que sur les bonnes pratiques de sécurité numérique au quotidien : parce qu'un site magnifique ne sert à rien si vos utilisateurs se font piéger par un QR code mal intentionné collé juste à côté.