Quishing : comment les QR codes contournent la sécurité email
- Le quishing utilise des QR codes pour masquer des URL malveillantes, contournant les filtres email textuels.
- Une technique innovante remplace les images par des tableaux HTML pour devenir invisible aux scanners.
- L'attaque déplace la victime d'un poste de travail sécurisé vers un appareil mobile non géré.
- L'APWG a enregistré une hausse de 400 % des attaques basées sur l'image à l'approche de 2025.
La cybersécurité joue un jeu de chat et de souris permanent où chaque verrou technologique finit par être contourné par une innovation offensive. Le phishing, méthode classique de vol de données, a muté pour donner naissance au quishing. Ce terme, contraction de QR code et phishing, désigne une stratégie où le lien malveillant n'est plus cliquable dans le corps du mail, mais caché derrière un code matriciel. Pour les dirigeants d'entreprise, le danger réside dans l'angle mort architectural que crée cette pratique.
Le mécanisme d'un angle mort technologique
La plupart des passerelles de sécurité de messagerie (SEG) traditionnelles ont été conçues pour analyser le texte, identifier des mots-clés suspects et vérifier la réputation des URL présentes dans le corps du message. Le quishing brise cette logique. En encapsulant l'URL malveillante dans une image, l'attaquant rend le contenu illisible pour les filtres textuels. L'email passe l'inspection sans déclencher d'alerte, car pour le logiciel de sécurité, il ne s'agit que d'une simple pièce jointe graphique ou d'une image intégrée.
L'aspect le plus critique de cette attaque est le transfert de plateforme. L'utilisateur reçoit l'email sur son ordinateur professionnel, un environnement généralement protégé par des proxys web, des filtres DNS et des logiciels de protection des points de terminaison. Cependant, pour scanner le QR code, il utilise son smartphone personnel ou professionnel. En un geste, la victime quitte le périmètre de sécurité de l'entreprise pour naviguer sur un appareil mobile souvent moins surveillé, rendant les défenses corporatives totalement obsolètes.
L'innovation radicale des QR codes sans image
Alors que les outils de sécurité commençaient à intégrer l'analyse d'image pour détecter les QR codes, les cybercriminels ont franchi une nouvelle étape. Une campagne observée fin décembre 2023 a révélé l'utilisation de QR codes rendus non pas par des fichiers images, mais via des tableaux HTML. Cette technique consiste à utiliser des cellules de tableaux colorées en noir et blanc pour recréer visuellement le motif du QR code.
Pour l'œil humain, le résultat est un QR code parfaitement fonctionnel. Pour un scanner de sécurité, il s'agit simplement de code HTML standard, sans aucune image à analyser. Cette approche permet de contourner même les contrôles de sécurité basés sur la reconnaissance d'images, prouvant que les attaquants exploitent des formats de contenu négligés pour maintenir leur accès aux réseaux d'entreprise. Une fois le code scanné, la victime est redirigée vers des domaines de phishing personnalisés pour chaque destinataire, optimisant ainsi la récolte d'identifiants et de jetons d'accès.
Une explosion statistique des menaces visuelles
L'efficacité de ces méthodes se traduit par des chiffres alarmants. L'Anti-Phishing Working Group (APWG) a rapporté une augmentation de 400 % des attaques de phishing basées sur l'image à l'approche de 2025. Aujourd'hui, on estime que 12 % à 12,4 % de tous les incidents de phishing utilisent des charges utiles encodées dans des images. Le secteur de l'éducation est particulièrement touché, avec plus de 15 000 emails de phishing contenant des QR codes détectés quotidiennement selon le rapport de Digital Defense de Microsoft.
Cette tendance s'accompagne d'une diversification des vecteurs. Les attaquants ne se contentent plus d'un simple carré noir et blanc. Ils intègrent désormais des QR codes dans des logos d'entreprises crédibles, utilisent des URI Blob, créent des codes en art ASCII ou fragmentent l'image en plusieurs parties pour tromper les analyses de signatures. L'objectif reste constant : exploiter la confiance instinctive de l'utilisateur envers un outil devenu banal dans la vie quotidienne.
Le facteur humain face à l'urgence technique
Le quishing repose massivement sur l'ingénierie sociale. La rapidité avec laquelle nous scannons les codes pour accéder à un menu, un billet de train ou une information produit a créé un réflexe d'automatisme. Les données montrent que 73 % des utilisateurs scannent des QR codes sans vérifier la destination finale. Cette vulnérabilité comportementale rend la formation des utilisateurs nécessaire, mais insuffisante.
L'interception technologique, et non la seule formation, constitue la seule défense scalable face à l'évolution rapide du quishing.
L'éducation des employés peut réduire les risques, mais elle ne peut pas contrer une attaque parfaitement mimétique. La solution réside dans l'adoption de technologies capables d'effectuer une analyse au moment de l'exécution (runtime analysis) et d'utiliser la reconnaissance d'image avancée pour déchiffrer le contenu des codes avant qu'ils n'atteignent la boîte de réception. Des solutions comme celles proposées par Acronis tentent de combler ce fossé architectural en analysant les images et les flux de redirection.
Anatomie d'une compromission cloud
Le danger ne s'arrête pas au vol d'un mot de passe. Le quishing est souvent la première étape d'une intrusion plus vaste dans les infrastructures cloud. Le schéma d'attaque suit généralement une progression logique :
L'attaquant envoie l'email avec le QR code HTML ou image. La victime scanne le code et saisit ses identifiants sur une page frauduleuse. Avec ces accès, le pirate tente de pénétrer dans des ressources cloud privilégiées. Une fois à l'intérieur, il procède à un mouvement latéral pour explorer le réseau, identifier des données sensibles et établir une communication avec son infrastructure de contrôle pour l'exfiltration des données.
Cette capacité de mouvement latéral transforme un simple vol d'identifiant en une brèche majeure, capable de paralyser des services entiers ou de compromettre la propriété intellectuelle d'une entreprise.
L'impact pour le tissu entrepreneurial français
Pour les entreprises françaises, le quishing arrive dans un contexte de transformation numérique accélérée, portée par des initiatives comme France 2030. Le tissu économique, composé majoritairement de PME et d'ETI, est particulièrement exposé car ces structures disposent souvent de budgets de cybersécurité limités et s'appuient sur des passerelles email vieillissantes.
L'entrée en vigueur progressive de l'AI Act européen impose également une réflexion sur la manière dont l'intelligence artificielle est utilisée pour détecter ces menaces. Si les attaquants utilisent l'IA pour générer des campagnes de phishing ultra-personnalisées, les entreprises françaises doivent adopter des outils de défense nativement dopés à l'IA pour analyser les images et le code HTML en temps réel.
Dans un pays où la souveraineté numérique est une priorité, la dépendance à des outils de sécurité qui ne savent pas lire un tableau HTML est un risque stratégique. La transition vers des architectures de confinement validées et une surveillance accrue des appareils mobiles (BYOD - Bring Your Own Device) devient impérative pour protéger les actifs immatériels des entreprises locales face à des menaces qui ne respectent plus les frontières entre le poste de travail et le smartphone.
Questions fréquentes
Qu'est-ce que le quishing exactement ?
C'est une variante du phishing où le lien malveillant est caché dans un QR code, permettant de contourner les filtres de sécurité email qui analysent principalement le texte.
Pourquoi les QR codes en tableaux HTML sont-ils plus dangereux ?
Parce qu'ils ne sont pas des fichiers images. Ils sont rendus par le navigateur via du code HTML, ce qui les rend invisibles pour les outils de sécurité qui recherchent spécifiquement des images de QR codes.
Comment se protéger efficacement du quishing ?
Il faut combiner des outils de sécurité capables d'analyser les images et le rendu HTML, tout en sensibilisant les employés à ne jamais scanner un QR code provenant d'un email non sollicité.
Pourquoi le smartphone est-il le point faible de l'attaque ?
Parce qu'il permet de déplacer la victime d'un ordinateur d'entreprise sécurisé vers un appareil mobile souvent dépourvu de filtres DNS ou de proxys de sécurité corporatifs.
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
