Pourquoi les QR codes piégés passent-ils à travers les filtres anti-spam ?
Parce qu'un QR code est une image : le filtre voit un dessin, pas un lien, et l'attaque quitte l'ordinateur protégé du bureau pour le smartphone de la personne. Les filtres récents savent lire beaucoup de QR codes, mais pas tous, et rien ne filtre un autocollant posé sur un parcmètre ou un faux avis glissé sous un essuie-glace. La meilleure défense est une règle simple, donnée à toute l'équipe : un QR code reçu par mail se traite comme un lien inconnu, et on ne saisit jamais son mot de passe professionnel après l'avoir scanné.
Le quishing, en deux mots
Le « quishing » est la contraction de « QR code » et de « phishing » (hameçonnage). L'ANSSI le définit dans son CyberDico comme la manœuvre par laquelle un attaquant redirige une victime vers une ressource malveillante (site d'hameçonnage, logiciel malveillant) quand elle scanne le code. Le but ne change pas : voler un mot de passe, des données bancaires, ou faire installer un logiciel malveillant.
Cybermalveillance.gouv.fr note que les QR codes frauduleux se sont invités régulièrement dans l'actualité de l'hameçonnage à partir de 2023. Le dispositif juge leur développement encore marginal face aux autres formes d'hameçonnage, mais la menace est réelle : le QR code masque le lien, qui n'est pas lisible à l'œil nu.
Pourquoi le filtre anti-spam le laisse passer
Un filtre anti-spam lit d'abord les liens et le texte d'un mail. Un QR code, lui, est une image. Microsoft l'explique dans un billet de son équipe Defender pour Office 365 : le QR code « apparaît comme une image » pendant l'acheminement du mail et reste illisible tant qu'il n'est pas décodé.
Microsoft donne deux raisons au succès de ces attaques, et observe d'autres astuces dans les mails piégés :
- L'attaque change d'appareil. On scanne avec son smartphone, souvent personnel, qui n'a pas les protections de l'ordinateur du bureau.
- Le petit écran cache les indices. Sur un téléphone, l'adresse du site est courte, tronquée, et les signes d'alerte se voient mal.
- Peu ou pas de texte. Moins il y a de mots, moins le filtre a d'indices pour juger le message.
- Le QR code est caché ailleurs : dans une image plus grande, ou dans une pièce jointe PDF plutôt que dans le corps du mail.
Les filtres se sont adaptés. Fin 2023, Microsoft a ajouté la lecture des QR codes à la protection de sa messagerie et annonçait bloquer environ 1,5 million de mails de quishing par jour. Mais aucun filtre n'est parfait, et un QR code collé sur une borne ou imprimé sur un faux avis ne passe par aucun filtre.
Les pièges les plus courants
| Où on le trouve | Ce qu'il raconte | Ce qu'il vise |
|---|---|---|
| Mail « du service informatique » | Votre mot de passe expire, réactivez votre double authentification | Le mot de passe Microsoft 365 de l'entreprise |
| Faux code de confirmation Office 365 | Scannez pour confirmer votre connexion | Le mot de passe professionnel |
| Mail avec un document à signer | Un contrat ou une facture vous attend, scannez pour l'ouvrir | Le mot de passe professionnel |
| Pièce jointe PDF | Le QR code est dans le document, pas dans le mail | Passer sous le radar du filtre |
| Faux avis de contravention, faux avis de passage | Une amende à régler, un colis à reprogrammer | Données personnelles et bancaires |
| Parcmètre, borne de recharge | Un autocollant posé sur le vrai QR code | Les données de carte bancaire |
Ces exemples sont ceux que recensent Cybermalveillance.gouv.fr et la fiche du ministère de l'Économie sur l'arnaque au QR code, qui cite aussi des affiches, des flyers et des menus de restaurant. Cybermalveillance.gouv.fr relevait que l'envoi par mail pouvait sembler incongru, puisqu'il faut un second appareil pour scanner ; le ministère de l'Économie constate qu'il est désormais « de plus en plus utilisé » et peut faire l'objet d'envois massifs.
Un scénario typique
Exemple, inventé pour illustrer. Un mardi matin, la secrétaire d'un cabinet reçoit un mail aux couleurs de Microsoft : « Votre boîte sera désactivée aujourd'hui. Scannez ce code pour garder l'accès. » Le mail ne contient presque pas de texte, aucun lien : juste un logo et un QR code. Le filtre ne le bloque pas.
Elle sort son smartphone, scanne, arrive sur une page de connexion Microsoft parfaitement imitée et saisit son mot de passe. Sur le petit écran, elle ne voit pas que l'adresse n'a rien à voir avec Microsoft. L'ordinateur du bureau, protégé, n'a jamais vu passer la page.
Ce qui l'aurait arrêtée : une seule règle, connue de toute l'équipe. Un QR code qui demande de se connecter à un compte professionnel, c'est toujours non.
Ce qu'il faut dire à l'équipe
Pas besoin d'une formation de deux heures. Ces cinq phrases, répétées en réunion d'équipe et affichées près des postes, couvrent l'essentiel. Elles reprennent les conseils de Cybermalveillance.gouv.fr et du ministère de l'Économie.
- Un QR code dans un mail, c'est un lien inconnu. Même prudence, même réflexe : d'où vient ce message, est-ce que je l'attendais ?
- Jamais de mot de passe professionnel après un scan. Le service informatique, Microsoft ou la banque ne vous demandent pas de vous connecter par un QR code.
- Lire l'adresse avant d'ouvrir. Après le scan, le téléphone affiche l'adresse du site : on prend le temps de la lire. Si elle ne correspond pas exactement au site attendu, on n'ouvre pas.
- En cas de doute, on demande. Un coup de fil au collègue ou au prestataire informatique, sur un numéro connu, jamais celui donné dans le message.
- On signale, même si on a scanné. Plus vite on le sait, plus vite on agit. Personne ne sera réprimandé pour avoir prévenu.
Lundi matin : quatre gestes concrets
- Désigner une personne à prévenir en cas de message suspect, avec son numéro, et le dire à tout le monde.
- Montrer comment signaler : le bouton « Signaler » de votre messagerie s'il existe, Signal Spam pour le mail lui-même, et Phishing Initiative pour l'adresse du faux site, comme le recommande la fiche réflexe de Cybermalveillance.gouv.fr.
- Vérifier vos propres QR codes : affiche de prise de rendez-vous en salle d'attente, QR code de paiement sur les factures, lien vers vos avis en ligne. Un autocollant posé par-dessus ? Le ministère de l'Économie conseille justement de vérifier qu'un QR code n'a pas été collé sur un autre.
- Protéger les comptes : la double authentification sur tous les comptes professionnels, des téléphones à jour, et les applications installées uniquement depuis les magasins officiels (Google Play, App Store).
Pour aller plus loin, Microsoft recommande de déployer largement des méthodes de connexion résistantes à l'hameçonnage, comme les clés de sécurité ou les passkeys (clés d'accès), qui ne se laissent pas réutiliser par une fausse page. Microsoft conseille de commencer par les comptes administrateurs et par ceux qui ont accès à des données sensibles : direction, comptabilité, dossiers patients.
Quelqu'un a scanné et saisi quelque chose : que faire dans l'heure
Pas de panique, mais pas d'attente non plus. Ce qu'on fait dépend de ce qui a été donné.
| Ce qui a été donné | Le geste immédiat | Qui prévenir |
|---|---|---|
| Rien, la page a été fermée | Fermer, ne rien saisir, garder le mail comme preuve | Signaler sur Signal Spam |
| Le mot de passe professionnel | Changer le mot de passe, fermer toutes les sessions ouvertes, vérifier les règles de transfert de la boîte | Votre prestataire informatique, tout de suite |
| Données de carte ou codes bancaires | Faire opposition immédiatement | Votre banque, puis porter plainte |
| Une application installée | Désinstaller l'application, ne plus utiliser le téléphone pour les comptes professionnels jusqu'à sa vérification (ou sa réinitialisation), changer les mots de passe depuis un autre appareil | Votre prestataire informatique |
| Des données de patients ou de clients exposées | Documenter l'incident | La CNIL, si possible dans les 72 heures si le risque est réel |
Pour un compte Microsoft 365, changer le mot de passe ne suffit pas. Le guide de Microsoft sur les comptes compromis demande aussi de fermer les sessions déjà ouvertes, de retirer les méthodes de double authentification ajoutées par l'attaquant et de contrôler les règles qui transfèrent les mails vers l'extérieur. C'est le travail de votre administrateur ou de votre prestataire, et c'est urgent.
Pour savoir quoi faire ensuite, le service 17Cyber de la Police nationale, de la Gendarmerie nationale et de Cybermalveillance.gouv.fr propose un diagnostic et oriente vers les bonnes démarches. En cas d'escroquerie, on peut porter plainte en ligne si de l'argent a été demandé, ou au commissariat ou à la brigade de gendarmerie. Et si l'attaquant a pu voir des données personnelles (dossiers patients, fichier clients), le RGPD impose de notifier la violation à la CNIL dans les meilleurs délais, si possible dans les 72 heures, dès qu'elle présente un risque pour les personnes.
Le cas particulier des cabinets de santé
Dans un cabinet, la boîte mail du secrétariat reçoit des résultats, des courriers de confrères et des demandes de patients. Un mot de passe volé donne accès à tout cela. Les deux premières lignes du tableau sont donc à traiter le jour même, et la question de la notification à la CNIL se pose presque toujours : mieux vaut en parler tout de suite avec votre prestataire. En cas de doute, la CNIL elle-même conseille de notifier.
Garder les choses en proportion
Le quishing reste une variante de l'hameçonnage classique, pas une menace d'un genre nouveau. Les mêmes réflexes protègent : se méfier de l'urgence, vérifier l'adresse, ne jamais donner son mot de passe à une page arrivée par surprise. La seule nouveauté à retenir : le lien peut désormais se cacher dans une image, et le filtre ne vous en protège pas toujours.
Questions fréquentes
Qu'est-ce que le quishing ?
C'est de l'hameçonnage par QR code : le lien vers une fausse page, ou vers un logiciel malveillant, est caché dans un QR code au lieu d'apparaître en clair. L'ANSSI parle aussi de « filoutage par code à réponse rapide ». Le but reste le même : voler un mot de passe, des données bancaires, ou installer un logiciel malveillant sur le téléphone.
Pourquoi un QR code piégé passe-t-il les filtres anti-spam ?
Parce que c'est une image : le filtre ne voit pas le lien tant qu'il n'a pas décodé le QR code. Les messages de quishing contiennent aussi souvent très peu de texte, ou cachent le QR code dans une pièce jointe PDF. Les filtres récents, comme celui de Microsoft 365, savent lire beaucoup de QR codes, mais pas tous.
Comment savoir si un QR code est piégé ?
Avant d'ouvrir le lien, lisez l'adresse que votre téléphone affiche après le scan : elle doit correspondre exactement au site attendu. Méfiez-vous d'un QR code reçu par mail que vous n'attendiez pas, d'un message qui presse, d'une demande de mot de passe ou de coordonnées bancaires, et d'un autocollant collé sur un autre QR code.
J'ai scanné un QR code suspect, que faire ?
Si vous n'avez rien saisi, fermez la page, gardez le message et signalez-le sur Signal Spam. Si vous avez donné un mot de passe, changez-le immédiatement et prévenez votre prestataire informatique, qui fermera les sessions ouvertes. Si vous avez donné des données bancaires, faites opposition auprès de votre banque. Le service 17Cyber vous guide pour la suite.
Où signaler un QR code suspect ?
Le mail suspect se signale sur Signal Spam, et l'adresse du faux site sur Phishing Initiative. Si vous êtes victime, le service 17Cyber fait un diagnostic et vous oriente vers les démarches adaptées, dont le dépôt de plainte.