Comment vous protéger du quishing : déjouez l'hameçonnage par code QR
Un scan rapide. Un petit carré sur un prospectus. Une note urgente "appuyez ici" sur une contravention de stationnement. C'est précisément sur cette confiance d'une fraction de seconde que comptent les attaquants. Le quishing - ou hameçonnage par code QR - semble inoffensif, mais il peut diriger un appareil à travers des redirections cachées, faire atterrir les utilisateurs sur de fausses pages de connexion convaincantes, ou transmettre silencieusement des jetons de suivi qui divulguent des données.
Cet article explique pourquoi les codes QR créent un angle mort, pourquoi le conseil "vérifiez simplement l'URL" est souvent insuffisant, et les mesures pratiques pour réduire les risques. La dernière section explique comment Clean Links révèle la véritable destination et supprime le suivi avant l'ouverture d'une page.
Pourquoi les codes QR créent un angle mort
Les codes QR suppriment à la fois la saisie manuelle et le contexte.
- Lorsqu'un code est scanné, le téléphone décode les données et affiche une URL ou une action. Cette première URL peut être un point de pivot - un lien court, un redirecteur, ou une page hébergée dans le cloud qui redirige immédiatement vers une autre destination.
- Les attaquants utilisent des raccourcisseurs et des redirections en plusieurs étapes pour masquer la cible finale. Ce qui semble sûr à première vue peut devenir une page de vol d'identifiants après une ou plusieurs redirections.
- Les codes QR peuvent être placés n'importe où : affiches, menus, courriers, autocollants collés sur des codes légitimes. Cet emplacement physique les rend persuasifs et faciles à détourner.
Pourquoi "vérifier l'URL" est souvent insuffisant
Dire à quelqu'un de "simplement vérifier l'URL" suppose plusieurs choses qui ne sont pas vraies en pratique :
- L'URL décodée peut être elle-même un redirecteur, donc la vérifier ne montre que la première étape.
- De nombreux visualiseurs - y compris les applications d'appareil photo par défaut - affichent le lien décodé mais ne suivent pas la chaîne de redirection complète ni ne révèlent la destination finale avant qu'on appuie dessus.
- Même si le domaine final semble légitime, des paramètres de suivi et des jetons d'affiliation peuvent y être attachés. Ces paramètres peuvent permettre le profilage ou être utilisés dans des schémas de fraude, rendant plus difficile de voir où mène réellement un scan.
En bref : une URL visible est utile, mais ce n'est pas tout.
La vidéo ci-dessus démontre la différence cruciale : l'application Appareil photo d'Apple n'affiche que le domaine initial, tandis que Clean Links suit toutes les redirections pour révéler la véritable destination finale avant que vous n'appuyiez.
Mesures pratiques pour réduire les risques
- Traitez les codes QR non sollicités comme des liens inconnus. Si quelque chose arrive par courrier, sur un autocollant, ou dans un endroit où vous ne l'attendiez pas, évitez de le scanner.
- Si une entreprise fournit un code QR (menu, billet, paiement), vérifiez le code auprès du personnel ou utilisez plutôt l'application ou le site web officiel de l'entreprise.
- Évitez de saisir des identifiants sur un site atteint depuis un code QR. Pour les services importants, tapez manuellement l'adresse officielle que vous connaissez ou utilisez un favori de confiance.
- Préférez les scanners qui prévisualisent la destination finale et montrent la chaîne de redirection plutôt que seulement le premier lien décodé.
Comment Clean Links vous aide
Clean Links est conçu pour démasquer les codes QR et les liens courts. Il suit la chaîne de redirection complète et affiche la véritable URL finale avant l'ouverture de la page. Alors que l'appareil photo de l'iPhone affiche le lien décodé, Clean Links révèle les redirections et supprime les paramètres de suivi pour que la page de destination et le lien qui s'ouvre correspondent aux attentes. Tout le traitement s'effectue localement sur l'appareil, sans aucune journalisation externe.
Clean Links peut être téléchargé gratuitement sur l'App Store.
Liste de contrôle rapide pour vous protéger
- Faites une pause avant d'appuyer. Inspectez l'aperçu du scanner et le domaine final.
- En cas de doute, ne saisissez pas de mots de passe ou d'informations de paiement.
- Si un lien demande un paiement urgent ou des identifiants, vérifiez la demande en dehors du lien.
- Faites d'un scanner plus sûr votre application par défaut si vous scannez régulièrement des codes QR dans des lieux publics.
Le quishing réussit parce qu'il exploite un comportement routinier. Un peu de prudence combinée aux bons outils brise la chaîne d'attaque. Pour quiconque scanne des codes QR même occasionnellement, utiliser un scanner qui prévisualise et nettoie les liens élimine une grande partie du risque.
