Qu’est-ce que le quishing ? Comment reconnaître le quishing et éviter les problèmes ?

Vous êtes assis en terrasse et scannez un code QR pour consulter le menu. Ou vous êtes à un horodateur et payez via un code QR. Peut-être recevez-vous une lettre ou un e-mail avec un code pour « régler rapidement quelque chose ». Cela semble normal et pratique. Et c’est précisément ce qui rend le quishing si efficace.

Qu’est-ce que le quishing et comment fonctionne-t-il ?

Le quishing est une combinaison des mots phishing et QR. Au lieu de cliquer sur un lien, vous scannez un code QR qui vous dirige vers un site web.

L’objectif est le même que pour le phishing : vous inciter à saisir des données, effectuer un paiement ou télécharger quelque chose. La différence est que cela passe par un canal qui semble plus fiable pour beaucoup de personnes.

Un code QR est souvent perçu comme pratique et sûr. Vous scannez et passez à autre chose. Mais derrière ce code, il peut tout aussi bien y avoir un faux site web que derrière un lien classique.

Pourquoi le quishing est-il dangereux ?

Le quishing est dangereux parce qu’il joue sur la confiance et la rapidité.

Les codes QR se trouvent souvent dans des environnements familiers, comme les restaurants, les magasins, les horodateurs ou les communications officielles. Les utilisateurs sont donc moins vigilants. Vous ne vous attendez pas immédiatement à une fraude dans ces situations.

De plus, un code QR est scanné rapidement. Vous agissez automatiquement, sans vérifier au préalable où vous allez être redirigé. C’est exactement ce dont profitent les fraudeurs.

Le principal risque est que vous ne pouvez pas voir immédiatement l’URL derrière le code QR. Avec le phishing classique, les utilisateurs sont devenus plus attentifs aux liens suspects et aux adresses web inhabituelles. C’est souvent à ce moment-là que la fraude est détectée. Avec le quishing, ce moment de vérification disparaît, car vous scannez d’abord et voyez ensuite où vous arrivez.

Les fraudeurs exploitent cela en plaçant des codes QR dans des environnements hors ligne et de confiance. Pensez à des autocollants, affiches, lettres ou cartes sur place. Comme cela paraît physique et réel, les gens font plus facilement confiance.

Le résultat peut être que vous arrivez sur un faux site web, saisissez vos données, effectuez un paiement incorrect ou téléchargez quelque chose de dangereux.

Quelles formes de quishing sont courantes ?

1. Quishing via e-mails et SMS
Vous recevez un message provenant par exemple d’une banque, d’un service de livraison ou d’une institution publique avec un code QR. Le message semble logique, mais le code vous dirige vers un faux site web.

2. Quishing via des lieux publics et de confiance
Les codes QR sur des horodateurs, tables de restaurant, comptoirs ou affiches sont remplacés ou recouverts. Comme vous faites confiance à l’endroit, vous scannez plus facilement sans vérifier.

3. Quishing via lettres ou colis
Vous recevez une lettre ou un colis avec un code QR pour « plus d’informations » ou une « confirmation ». Cela semble officiel, mais peut être un piège.

4. Quishing visant une action rapide
Après le scan, on vous demande d’agir immédiatement, par exemple effectuer un paiement, vous connecter ou confirmer un compte. Vous avez peu de temps pour réfléchir, et c’est précisément le but.

Comment reconnaître le quishing ?

Le quishing n’est pas toujours reconnaissable au premier coup d’œil. C’est ce qui rend cette forme de fraude trompeuse. Un code QR semble généralement inoffensif et est souvent utilisé dans des situations normales et fiables. Les utilisateurs sont donc moins critiques que face à un lien classique dans un e-mail ou un SMS.

Il existe néanmoins des signaux d’alerte. Parfois, ils se situent dans la situation elle-même, parfois sur le site web après le scan. L’essentiel est de ne pas continuer automatiquement après avoir scanné un code QR. Prendre un moment pour vérifier peut faire toute la différence.

Faites particulièrement attention aux signes suivants :

• Codes QR inattendus : vous recevez un code QR sans l’avoir demandé ni attendu.
• Un environnement familier mais suspect : par exemple un autocollant collé sur un autre code QR ou un code mal appliqué.
• Action immédiate après le scan : on vous demande de payer, vous connecter ou saisir des données personnelles immédiatement.
• Un site web inhabituel : l’URL semble étrange ou la page diffère de ce que vous attendez.
• Erreurs de marque et design médiocre : fautes de langue, logo incorrect, couleurs différentes ou page peu professionnelle.
• Un sentiment d’urgence ou de pression : vous êtes poussé à agir rapidement sans vérification.
  

Comment vous protéger contre le quishing ?

Ne scannez pas automatiquement, mais consciemment
Prenez un moment avant de scanner, surtout dans des situations qui semblent très normales ou très simples.

Vérifiez toujours où vous êtes redirigé
Examinez l’URL avant de saisir ou confirmer quoi que ce soit.

Soyez particulièrement prudent avec les informations sensibles
Les organisations officielles ne demandent généralement pas d’informations sensibles via un code QR, comme des identifiants, des données de paiement ou des données personnelles. Si cela se produit, soyez extrêmement vigilant. Dans de nombreux cas, il s’agit d’une tentative de fraude.

Accédez vous-même au site officiel
Saisissez l’adresse web manuellement ou utilisez l’application de l’organisation au lieu de scanner un code QR provenant d’un message ou d’un autocollant.

Soyez particulièrement vigilant dans les environnements de confiance
C’est là que le quishing est de plus en plus utilisé, car les utilisateurs y sont moins méfiants.

Utilisez une protection supplémentaire lors de la navigation
Logiciels de sécurité peuvent vous aider en détectant les sites dangereux, les liens suspects et les téléchargements malveillants, et en vous avertissant à temps. Cela permet d’éviter de se retrouver sur un faux site ou d’installer un élément dangereux sans le savoir.

Certains packages de sécurité vont encore plus loin. Des produits tels que McAfee Total Protection, McAfee+ Premium et McAfee+ Advanced incluent un scanner de codes QR intégré qui vérifie si un code QR est sûr avant de l’ouvrir

En cas de doute, vous pouvez vérifier rapidement la sécurité de votre appareil avec une analyse.

Que faire si vous avez déjà scanné ?

Arrêtez immédiatement et ne poursuivez pas sur le site
Vous remarquez quelque chose d’anormal après avoir scanné un code QR ? N’allez pas plus loin. Ne cliquez sur rien, ne saisissez aucune donnée et fermez immédiatement la page. Plus vous restez longtemps, plus le risque augmente.

Modifiez immédiatement vos mots de passe
Vous avez saisi des informations ? Changez immédiatement vos mots de passe, surtout si vous utilisez le même mot de passe à plusieurs endroits.

Contactez votre banque en cas de paiement
Vous avez effectué un paiement ? Contactez immédiatement votre banque afin de limiter les dégâts.

Vérifiez votre appareil avec une analyse de sécurité
Vous avez téléchargé quelque chose ou vous n’êtes pas sûr de ce qui s’est passé ? Lancez une analyse de sécurité pour vérifier si votre appareil est sûr.

Contrôlez vos comptes et activités
Vérifiez vos comptes pour détecter toute activité inhabituelle et activez des protections supplémentaires si possible, comme l’authentification à deux facteurs (2FA).

Comment éviter de devenir victime du quishing ?

En adoptant une habitude simple : ne scannez pas automatiquement, réfléchissez d’abord. Vérifiez où vous êtes redirigé, restez critique face à la situation et utilisez une protection supplémentaire comme filet de sécurité. Cela complique fortement la tâche des fraudeurs.

Questions fréquentes sur le quishing