Nouvelle menace via les codes QR : votre téléphone peut être infecté simplement en le scannant !

Le phishing via des codes QR, également connu sous le nom de « Quishing », est devenu plus dangereux que jamais, car les attaquants exploitent ces codes de manière innovante pour pirater des appareils et voler des données.

Selon un rapport publié par le site Angle de siliciumLes cybercriminels intègrent désormais du code JavaScript malveillant dans les codes QR, les exécutant automatiquement une fois scannés. Plus dangereux encore : les utilisateurs ciblés n'ont même pas besoin de cliquer sur le lien qui apparaît après le scan pour que leur appareil soit compromis.

Cette méthode diffère de Menaces traditionnelles pesant sur les codes QR, qui redirigeait simplement les utilisateurs vers des sites Web malveillants lorsqu'ils cliquaient sur le lien affiché après l'analyse.

Cette nouvelle méthode consiste à intégrer du HTML et du JavaScript directement dans les codes QR à l'aide d'URI (Uniform Resource Identifiers). Le logiciel malveillant peut ainsi opérer entièrement au sein du navigateur, où il peut prendre le contrôle des pages de connexion, espionner les saisies (enregistreur de frappe) et lancer immédiatement des exploits.

Une fois activé, le code JavaScript malveillant peut également extraire des données via des formulaires cachés et identifier l'empreinte digitale de l'appareil. Plus inquiétant encore, ce code malveillant peut contourner la plupart des programmes, outils et systèmes de sécurité, car il est intégré au code lui-même et ne se connecte donc à aucune URL externe lors de son exécution. De même, Rapport INKY Sur ce sujet, les attaquants utilisent déjà ces nouvelles techniques de phishing pour se cacher Logiciels malveillants dangereux Et échapper à la détection.

Comment se protéger des codes QR malveillants : un guide complet

Cela va sans dire, mais nous le soulignons : Évitez de scanner des codes QR inconnus.Absolument. Si la source est inconnue ou indésirable, ne la scannez pas. La sécurité numérique commence par la prudence.

Si vous recevez un e-mail ou un SMS vous demandant de scanner un code QR pour effectuer une action ou une activité, surtout si le message évoque une urgence, contactez directement l'expéditeur via un numéro de téléphone connu, un canal de discussion ou les coordonnées officielles de l'entreprise, et non en répondant à l'e-mail ou au SMS d'origine. Vérifiez par vous-même que le code est bien requis. C'est une étape cruciale pour vérifier l'authenticité de la demande et éviter toute fraude.

Ne fournissez jamais d'identifiants ni d'informations personnelles sensibles après avoir scanné un code QR, sauf si vous êtes absolument certain que le site que vous visitez est légitime. Vérifiez attentivement l'URL, même si elle semble correcte à première vue. Les escrocs utilisent souvent des URL très similaires à l'original pour tromper les utilisateurs.

Parallèlement, vous devez également désactiver la fonctionnalité d'ouverture automatique du navigateur sur votre système d'exploitation mobile ou votre application de lecture de codes QR. Cela empêchera le lecteur d'ouvrir les liens avant que vous ayez pu les vérifier. Assurez-vous également d'utiliser un lecteur de codes QR qui affiche l'URL avant de l'ouvrir. Ces paramètres offrent une protection supplémentaire contre les liens malveillants.

Comme pour toute menace d'hameçonnage, soyez extrêmement prudent et méfiez-vous de tout message (e-mail, SMS ou médias sociaux) véhiculant un sentiment d'urgence ou de menace. Tout message incluant une menace de désactivation de compte, de poursuites judiciaires, de suspension de compte, de connexion non autorisée ou une demande d'agir immédiatement doit être considéré comme une attaque potentielle. Ces tactiques sont courantes dans les tentatives d'hameçonnage et visent à pousser les utilisateurs à prendre des décisions hâtives.

Si vous recevez un e-mail suspect contenant un code QR, signalez-le à votre équipe informatique ou de sécurité. Si vous voyez un message similaire dans votre compte personnel, vous pouvez toujours le signaler comme spam ou hameçonnage potentiel. Signaler ces messages permet de protéger les autres contre la fraude.

Compte tenu de l'immense popularité des codes QR et de la facilité avec laquelle les gens les scannent dans les restaurants et autres lieux publics, je ne pense pas que cette menace disparaisse de sitôt. Espérons que Google et Apple s'efforceront de mettre en œuvre des solutions pour protéger les utilisateurs d'Android et d'iPhone contre les codes QR malveillants. Le développement de mécanismes de sécurité robustes est essentiel pour assurer la sécurité des utilisateurs à l'ère du numérique.