Le FBI met en garde contre l’utilisation non sécurisée des QR codes, qui deviennent un nouvel outil dans les cyberattaques de type « Quishing ». Bien que les e-mails professionnels soient de mieux en mieux protégés, les QR codes échappent souvent à ces sécurités, exposant les utilisateurs à des risques de phishing sophistiqués.
L’essentiel à retenir
Le FBI a récemment mis en lumière une technique de phishing appelée « Quishing », où les cybercriminels utilisent des QR codes pour accéder à des informations confidentielles. Les utilisateurs, souvent dans un cadre professionnel, sont incités à flasher un QR code qui semble légitime, mais qui redirige vers un serveur malveillant. Ce type d’attaque est difficile à détecter car il contourne les vérifications traditionnelles des e-mails.
Dans ces campagnes, les attaquants envoient des e-mails contenant des QR codes, souvent déguisés en invitations à des réunions ou autres actions courantes. Une fois scanné, le QR code mène à une page web imitant parfaitement le service officiel, encourageant les utilisateurs à entrer leurs identifiants. Les détails du site sont soigneusement reproduits pour éviter de susciter des soupçons.
En exploitant la confiance dans les QR codes, les cybercriminels parviennent à dérober des informations sensibles sans éveiller de soupçons. Les utilisateurs, convaincus de la légitimité de l’interaction, fournissent leurs identifiants sans réaliser qu’ils sont en train de les envoyer à un cybercriminel.
Les cybercriminels investissent dans la création de sites web qui répliquent fidèlement les services ciblés, tels que Microsoft 365 et d’autres plateformes collaboratives. Ces sites sont souvent hébergés sur des serveurs temporaires qui changent fréquemment d’adresse pour échapper aux détections. Ce niveau de sophistication rend le travail des équipes de sécurité particulièrement difficile.
Ces attaques ne se contentent pas de voler des identifiants. Elles peuvent aussi collecter des données supplémentaires telles que des codes de validation ou des informations personnelles. Ces données sont ensuite utilisées pour compromettre davantage de comptes ou lancer de nouvelles campagnes de phishing.
Inventé en 1994 par l’entreprise japonaise Denso Wave, le QR code a été conçu pour suivre les pièces automobiles durant le processus de fabrication. Au fil des années, il est devenu omniprésent, utilisé dans divers secteurs pour faciliter l’accès à des informations ou des services via un simple scan. Cependant, cette simplicité apparente a également ouvert la voie à des abus, les cybercriminels exploitant le manque de vigilance autour de ces codes pour mener des attaques de phishing sophistiquées.