Celui de Code QR C’est une technologie assez datée (pour mémoire, elles ont été inventées en Japon Dans le 1994 de la société Vague densefiliale de Toyotapour tracer des pièces automobiles), mais il est encore largement utilisé aujourd’hui dans divers domaines. Y compris celui de cybercriminalité. Un QR code en soi n’est ni sûr ni dangereux : il s’agit simplement d’un « lien graphique » qui renvoie à une action. Il peut ouvrir un site légitime, nous permettre d’accéder à un réseau Wi-Fi ou nous montrer un menu, mais il peut également nous diriger vers une page Web malveillante, conçue pour voler des données ou nous inciter à effectuer des opérations que nous ne ferions pas sciemment. Dans cette étude, nous essayons donc de clarifier parce que les codes QR peuvent être dangereux devenir un vecteur d’éventuels cyber-risques dans des contextes spécifiques, quels sont les scénarios d’abus et d’abus les plus réalistes comment nous pouvons nous protéger avec bon senssans tomber dans le piège de la méfiance ou, pire encore, celui de la paranoïa.
Parce que les codes QR peuvent être dangereux
Même si les codes QR existent depuis les années 1990, ce qui a accéléré leur utilisation, c’est l’inoubliable Pandémie de covid-19une période où il était nécessaire de disposer de solutions rapides permettant un accès sans contact à divers services. À partir de 2020 L’utilisation des codes QR s’est développée et on les retrouve désormais pratiquement partout : sur les écrans, les affiches, les produits, les cartes et les appareils sans clavier, comme les téléviseurs intelligents. Techniquement, un code QR est un code bidimensionnel contenant des données lisibles par caméra: Ces données peuvent représenter une adresse Web, du texte, etc. Aucune infrastructure complexe n’est requise et n’importe qui peut en générer une en quelques secondes en profitant d’un nombre infini de services et d’applications en ligne utiles à cet effet. Et c’est précisément cette popularité et cette facilité de génération qui les rendent également intéressants pour les cybercriminels.
Il existe des cas documentés d’escroqueries basées sur les codes QR, mais leur impact reste relativement limité par rapport à d’autres cyberarnaques. Les épisodes les plus courants surviennent dans des lieux ouverts tels que gares ou parkings (où ils peuvent être trouvés sur les parcomètres ou sous la forme de fausses amendes sur les pare-brise des voitures, où un code peut être remplacé par une vignette frauduleuse. Dans d’autres cas, les escrocs peuvent même renvoyer chez eux lettres papier contenant des codes QR frauduleux (comme cela s’est produit en Suisse il y a quelque temps). Scanner le code QR ne suffit souvent pas à causer des dommages : entre également en jeu l’ingénierie sociale, c’est-à-dire l’ensemble des techniques qui exploitent la confiance et les réactions émotionnelles des gens, exploitées par les cybercriminels pour inciter leurs victimes à accomplir des actions dangereuses (comme remplir des formulaires, fournir des informations de paiement, etc.).
Sans surprise, comme le souligne le NCSC (Centre national de cybersécurité) les QR codes «sont de plus en plus utilisés dans les e-mails de phishing» réaliser un appel pratique écraserfusion entre « QR » Et « hameçonnage ». Pour mémoire, le phishing est une technique qui vise à inciter la victime à fournir des informations personnelles en prétendant qu’il s’agit de communications officielles. Insérer un QR code dans un message présente plusieurs avantages pour l’attaquant : si un utilisateur peut se méfier d’un lien suspect, une image contenant un QR code pourrait être interprétée comme absolument inoffensive et, par conséquent, il pourrait scanner le code sans trop de problèmes. L’arnaque trouverait alors son achèvement effectif dans le cas où l’utilisateur réalise les actions prévues par le cybercriminel qui a tendu le piège. Par exemple, téléchargement d’applications qui cachent en fait des logiciels malveillants, en remplissant des formulaires en ligne destinés à perpétrer une usurpation d’identité ou une fraude bancaire, etc.
Comment se protéger des codes QR malveillants
Pour défendez-vous contre les codes QR malveillantsil est important de faire attention au lieu (physique ou numérique) où vous vous rendez pour scanner les codes en question. Faites attention à ces exemples.
- Restaurants, pubs, bars et similaires : dans des endroits comme ceux-ci, le risque est généralement faible, étant donné que les codes QR sont généralement utilisés par les gérants de ces lieux pour télécharger le menu, la liste de prix, etc.
- Parkings, gares, toilettes publiques, etc. : dans des espaces sans surveillance comme ceux-ci, le risque de rencontrer des codes QR malveillants est nettement plus élevé. Ici, vous devez maintenir votre seuil d’alerte plus élevé.
- Courriels, messages directs et diverses communications en ligne : étant donné l’augmentation des cas de quishing par e-mail, même dans ce cas, vous devez prêter la plus grande attention aux messages suspects qui vous invitent à scanner un code QR.
Comme nous vous l’avons déjà expliqué, scanner un code QR en soi ne devrait pas comporter de risques majeurs ; le problème survient plus tard, lorsque des actions potentiellement dangereuses sont effectuées sur la page Web qui s’ouvre une fois le code bidimensionnel scanné. Dans ce cas, il est bon de garder à l’esprit ne fournissez pas d’informations personnelles (comme ceux de paiement) et ne téléchargez aucune application d’aucune sorte (si ce n’est via la boutique officielle de votre appareil). Un autre conseil « bonus » fourni par Centre national de cybersécurité du Royaume-Uni, mieux utilisez le scanner installé « en standard » sur votre smartphone plutôt que des applications tierces.