Nouvelle menace via les codes QR : votre téléphone peut être infecté simplement en le scannant !

Le phishing via des codes QR, également connu sous le nom de « Quishing », est devenu plus dangereux que jamais, car les attaquants exploitent ces codes de manière innovante pour pirater des appareils et voler des données.

D'après un rapport publié par Silicon Angle , les cybercriminels intègrent désormais du code JavaScript malveillant dans les codes QR, qui s'exécute automatiquement dès le scan. Plus inquiétant encore, les utilisateurs ciblés n'ont même pas besoin de cliquer sur le lien qui apparaît après le scan pour que leurs appareils soient compromis.

Cette méthode diffère des menaces traditionnelles liées aux codes QR , qui redirigeaient simplement les utilisateurs vers des sites web malveillants lorsqu'ils cliquaient sur le lien apparaissant après la numérisation.

Cette nouvelle méthode consiste à intégrer du HTML et du JavaScript directement dans les codes QR à l'aide d'URI (Uniform Resource Identifiers). Le logiciel malveillant peut ainsi opérer entièrement au sein du navigateur, où il peut prendre le contrôle des pages de connexion, espionner les saisies (enregistreur de frappe) et lancer immédiatement des exploits.

Une fois activé, le code JavaScript malveillant peut extraire des données à l'aide de modèles cachés et établir une empreinte numérique de l'appareil. Plus inquiétant encore, ce code malveillant peut contourner la plupart des programmes, outils et systèmes de sécurité, car le logiciel malveillant est intégré au code lui-même et ne se connecte donc à aucune URL externe lors de son exécution. De même, le rapport d'INKY sur ce sujet indique que les attaquants utilisent déjà ces nouvelles techniques d'hameçonnage pour dissimuler des logiciels malveillants dangereux et échapper à la détection.

Comment se protéger des codes QR malveillants : un guide complet

Cela va de soi, mais nous insistons : évitez de scanner les codes QR provenant de sources inconnues . Absolument pas. Si la source est inconnue ou suspecte, ne scannez pas le code. La sécurité numérique commence par la prudence.

Si vous recevez un e-mail ou un SMS vous demandant de scanner un code QR pour effectuer une action ou une activité, surtout si le message évoque une urgence, contactez directement l'expéditeur via un numéro de téléphone connu, un canal de discussion ou les coordonnées officielles de l'entreprise, et non en répondant à l'e-mail ou au SMS d'origine. Vérifiez par vous-même que le code est bien requis. C'est une étape cruciale pour vérifier l'authenticité de la demande et éviter toute fraude.

Ne fournissez jamais d'identifiants ni d'informations personnelles sensibles après avoir scanné un code QR, sauf si vous êtes absolument certain que le site que vous visitez est légitime. Vérifiez attentivement l'URL, même si elle semble correcte à première vue. Les escrocs utilisent souvent des URL très similaires à l'original pour tromper les utilisateurs.

Parallèlement, vous devez également désactiver la fonctionnalité d'ouverture automatique du navigateur sur votre système d'exploitation mobile ou votre application de lecture de codes QR. Cela empêchera le lecteur d'ouvrir les liens avant que vous ayez pu les vérifier. Assurez-vous également d'utiliser un lecteur de codes QR qui affiche l'URL avant de l'ouvrir. Ces paramètres offrent une protection supplémentaire contre les liens malveillants.

Comme pour toute menace d'hameçonnage, soyez extrêmement prudent et méfiez-vous de tout message (e-mail, SMS ou médias sociaux) véhiculant un sentiment d'urgence ou de menace. Tout message incluant une menace de désactivation de compte, de poursuites judiciaires, de suspension de compte, de connexion non autorisée ou une demande d'agir immédiatement doit être considéré comme une attaque potentielle. Ces tactiques sont courantes dans les tentatives d'hameçonnage et visent à pousser les utilisateurs à prendre des décisions hâtives.

Si vous recevez un e-mail suspect contenant un code QR, signalez-le à votre équipe informatique ou de sécurité. Si vous voyez un message similaire dans votre compte personnel, vous pouvez toujours le signaler comme spam ou hameçonnage potentiel. Signaler ces messages permet de protéger les autres contre la fraude.

Compte tenu de l'immense popularité des codes QR et de la facilité avec laquelle les gens les scannent dans les restaurants et autres lieux publics, je ne pense pas que cette menace disparaisse de sitôt. Espérons que Google et Apple s'efforceront de mettre en œuvre des solutions pour protéger les utilisateurs d'Android et d'iPhone contre les codes QR malveillants. Le développement de mécanismes de sécurité robustes est essentiel pour assurer la sécurité des utilisateurs à l'ère du numérique.