Le quishing, c'est du hameçonnage réalisé au travers d'un code QR. Quelqu'un vous dirige vers un site web malveillant à l'aide d'un code plutôt que d'un lien, et comme la plupart des codes QR sont anonymes, vous ne pouvez pas savoir où il mène tant que vous ne l'avez pas scanné. C'est un risque réel, mais il vaut la peine d'être précis sur l'endroit où le risque réside vraiment : dans les codes aléatoires et anonymes que n'importe qui peut générer et coller n'importe où, pas dans le code d'une marque imprimé dans son propre emballage et se résolvant vers son propre domaine.
Cette distinction compte, car le passage aux codes-barres 2D sur les produits a rendu certains clients nerveux, comme si chaque code était désormais un piège. Ce n'est pas le cas. Ce guide explique comment fonctionne le quishing, pourquoi un code responsable comme un GS1 Digital Link est conçu pour l'éviter, et comment distinguer un code sûr d'un code suspect.
Qu'est-ce que le quishing ?
La réponse directe : le quishing, contraction de « QR » et de « phishing », est une arnaque où un attaquant utilise un code QR pour vous envoyer vers un site web frauduleux ou pour déclencher une action nuisible. Le code n'est que le moyen de livraison. Il fonctionne pour la même raison que les liens de hameçonnage, parce qu'il masque la destination, et il est sans doute pire parce qu'un carré imprimé ne vous offre aucun aperçu au survol et aucune adresse visible à inspecter avant de vous engager.
Les attaquants aiment les codes QR parce qu'ils sont peu coûteux, qu'ils ont l'air officiels, et qu'ils peuvent être placés dans le monde physique, là où les gens font confiance à leur environnement : un horodateur, une table de restaurant, une affiche, une lettre.
Comment fonctionne réellement une arnaque au quishing
Une attaque de quishing typique comporte trois mouvements. D'abord, l'attaquant génère un code QR qui pointe vers un site qu'il contrôle, souvent un clone convaincant d'une vraie page de connexion ou de paiement. Ensuite, il place ce code là où une victime en attend un légitime, fréquemment sous forme d'autocollant collé par-dessus un code authentique. Enfin, la victime scanne, atterrit sur la fausse page, et livre un mot de passe ou des données de carte en croyant qu'il s'agit du vrai service.
Le facteur clé dans presque tous les cas est l'anonymat. Le code ne porte aucune preuve de qui l'a créé ni d'où il devrait mener. N'importe qui peut en fabriquer un, et rien dans le symbole lui-même ne le cautionne.
Pourquoi un code GS1 Digital Link est différent
Le code GS1 Digital Link d'une marque est une tout autre bête qu'un autocollant aléatoire, parce qu'il est rattaché à une chaîne responsable. L'identité contenue dans le code est concédée sous licence par GS1 à une entreprise réelle et immatriculée, et elle se résout via une adresse connue plutôt qu'une URL mystère. Un autocollant frauduleux ne peut pas contrefaire cette chaîne. Au mieux, il peut être une copie pointant vers un endroit où elle ne devrait pas, ce qui est exactement le même risque qui existe déjà avec une adresse web imprimée ou un numéro de téléphone sur un emballage, et pas pire.
Autrement dit, le code imprimé dans le visuel d'un produit par son fabricant, se résolvant vers le propre domaine de ce fabricant, se situe à l'extrémité sûre du spectre. L'extrémité dangereuse est l'autocollant anonyme sans propriétaire responsable. La transition vers des codes standardisés et détenus par les marques pousse tout l'écosystème vers l'extrémité sûre, et non l'inverse.
Comment repérer un faux code QR
Vous n'avez pas à craindre chaque code. Vous avez besoin du même bon sens de la rue que vous utilisez déjà avec les liens et les numéros de téléphone. Les signaux ci-dessous séparent un code auquel vous pouvez vous fier de celui dont vous devriez vous méfier.
| Signal | Code digne de confiance | Code suspect |
|---|---|---|
| Emplacement | Imprimé dans le produit ou le matériau lui-même | Un autocollant collé par-dessus un autre code |
| Lieu | Sur un produit, dans des supports officiels | Scotché sur un lampadaire, un horodateur ou une surface quelconque |
| Destination | Se résout vers le propre domaine de la marque | Domaine étrange, raccourcisseur de lien, nom mal orthographié |
| Demande | Affiche de l'information | Demande immédiatement un mot de passe ou un paiement |
| Contexte | Correspond à l'endroit où vous êtes et à ce que vous attendez | Arrive sans sollicitation, par lettre ou par courriel, avec un sentiment d'urgence |
Si un code est un autocollant superposé à un autre code, ou s'il vous amène sur une page réclamant des identifiants, arrêtez-vous. C'est le schéma dont il faut se méfier.
Ce que les marques peuvent faire pour protéger leurs clients
Les marques ne sont pas démunies ici, et les choix qui réduisent le risque de quishing sont les mêmes que ceux qui rendent un code plus utile. Imprimez le code directement dans le visuel plutôt que de l'apposer comme un autocollant séparé, pour que l'altération soit plus difficile et plus visible. Résolvez vers votre propre domaine pour que la destination soit vérifiable. Utilisez une identité responsable et fondée sur des normes comme GS1 Digital Link, pour que le code soit rattaché à votre entreprise plutôt qu'à un générateur anonyme. Pour les produits de grande valeur, ajoutez une vérification d'authenticité derrière le scan afin qu'un client puisse confirmer que le produit est authentique.
Rien de tout cela n'est exotique. C'est la différence entre un code dont seul un scanner se soucie et un code auquel un client peut se fier, et c'est traité plus en profondeur dans notre guide pilier sur la question de savoir si les codes QR sur les produits sont sûrs.
Vous voulez publier des codes qui se résolvent vers votre propre domaine via une chaîne responsable ? Créez un compte gratuit et essayez-le.
Foire aux questions
Que signifie le quishing ?
Le quishing, c'est du hameçonnage réalisé au travers d'un code QR. Un attaquant utilise un code, plutôt qu'un lien, pour envoyer une victime vers un site web frauduleux ou pour provoquer une action nuisible. Le code masque la destination, ce qui rend la technique efficace.
Les codes QR sur les produits sont-ils dangereux ?
Pas lorsqu'ils font partie d'un système responsable. Le risque qui inquiète les gens vient des codes anonymes que n'importe qui peut imprimer et coller n'importe où. Un code imprimé dans l'emballage d'un produit par la marque, se résolvant vers le propre domaine de la marque, se situe à l'extrémité sûre du spectre. Méfiez-vous des codes collés par-dessus d'autres codes ou placés dans des lieux publics quelconques.
Comment savoir si un code QR est une arnaque ?
Vérifiez l'emplacement, la destination et l'intention. Méfiez-vous d'un code qui est un autocollant superposé à un autre code, qui se résout vers un domaine étrange, mal orthographié ou vers un raccourcisseur de lien, ou qui demande immédiatement un mot de passe ou un paiement. Un code digne de confiance est imprimé dans le matériau lui-même et se résout vers un domaine qui correspond à la marque.
GS1 Digital Link empêche-t-il le quishing ?
Il ne rend pas la fraude impossible, mais il supprime l'anonymat dont dépend le quishing. Un code GS1 Digital Link est concédé sous licence à une entreprise immatriculée et se résout via une adresse connue, si bien qu'un autocollant frauduleux ne peut pas usurper cette chaîne responsable. Il ramène l'attaque au même risque de copie qui existe déjà avec n'importe quelle adresse imprimée.
