Le quishing, ou phishing par QR code, s’impose comme une méthode d’arnaque numérique de plus en plus utilisée. Son principe est simple, mais redoutable, un code QR cache une adresse frauduleuse, ce qui permet aux cybercriminels de contourner plus facilement les contrôles habituels. Pour une entreprise comme pour un collaborateur, le risque est réel dès qu’un scan mène vers une page piégée ou un téléchargement malveillant.
En quelques lignes :
Le quishing dissimule des URL malveillantes dans des QR codes, donc en vérifiant systématiquement la destination vous réduisez fortement le risque d’accès non autorisé et de vol de données.
- Prévisualisez la destination avec une application de scan fiable avant d’ouvrir la page (vérifiez la présence de https:// et la cohérence de l’URL).
- Ne saisissez jamais d’identifiants ou de codes MFA sur une page ouverte depuis un QR code sans validation préalable.
- Inspectez les QR codes physiques pour détecter un autocollant superposé ou un support altéré, et retirez ou remplacez les codes suspects.
- Intégrez le quishing à vos audits et procédures de gestion des risques, et suivez de près les comptes et opérations financières pour repérer les anomalies.
- En cas d’incident, changez les mots de passe, prévenez l’équipe IT, lancez une analyse antivirus et, si nécessaire, alertez la banque et les autorités. À retenir: plus de 1,7 million de QR codes malveillants ont été détectés sur six mois.
Qu’est-ce que le quishing, ou phishing par QR code ?
Le quishing est une forme de phishing qui exploite les QR codes pour intégrer une URL malveillante dans une image scannable. Contrairement à un lien classique, l’adresse de destination n’apparaît pas immédiatement à l’écran, ce qui réduit la vigilance au moment de la lecture. Les outils de sécurité filtrent aussi plus facilement du texte ou des hyperliens que des images contenant un code à analyser.
Une fois le QR code scanné, l’utilisateur peut être redirigé vers un faux site de connexion, une page de collecte de données ou même un fichier infecté. Dans certains cas, l’attaque se déclenche sans bruit, car la destination réelle reste masquée derrière une interface banale. C’est ce côté indirect qui distingue le quishing du phishing classique.
Le phénomène progresse vite. Une synthèse 2025-2026 évoque une hausse de 400 % des attaques de quishing entre 2023 et 2025, ce qui montre que les fraudeurs s’adaptent aux filtres et aux usages du quotidien. Le QR code, devenu courant dans les menus, les paiements, les documents et les communications internes, offre un terrain favorable à cette fraude.
Chiffres clés : ampleur et évolution de la menace
Les données récentes confirment que le quishing n’est plus un sujet marginal. Les campagnes observées à grande échelle montrent une hausse soutenue des QR codes malveillants, avec des volumes qui se comptent désormais en millions sur quelques mois. Cette progression s’explique par la facilité de diffusion et par la difficulté à détecter un code piégé avant son scan.
Entre le 1er octobre 2024 et le 31 mars 2025, APWG et Mimecast ont détecté plus de 1,7 million de QR codes malveillants uniques. Sur le seul T2 2025, 635 672 QR codes malveillants ont été repérés, puis 716 306 au T3 2025, soit une hausse de 13 %. Au T4 2025, le volume redescend à 655 673, mais sur 12 mois, de T2 2024 à T3 2025, le total dépasse 3 millions de QR codes malveillants uniques.
Une autre analyse, menée par Keepnet Labs, estime que près de 2 % de tous les QR codes scannés étaient malveillants. Le chiffre peut sembler limité, mais à l’échelle d’un usage massif, il traduit un niveau de risque préoccupant. APWG indique aussi que 1 642 marques ont été ciblées, avec une attention particulière portée au secteur manufacturier.
Voici un aperçu synthétique des tendances relevées dans les rapports récents.
| Période | Volume détecté | Lecture rapide |
|---|---|---|
| 1er oct. 2024 au 31 mars 2025 | Plus de 1,7 million | Accumulation massive de QR codes malveillants uniques |
| T2 2025 | 635 672 | Base élevée de détections sur un trimestre |
| T3 2025 | 716 306 | Hausse de 13 % par rapport au trimestre précédent |
| T4 2025 | 655 673 | Repli modéré, sans retour à un niveau bas |
| Sur 12 mois | Plus de 3 millions | La menace reste installée dans la durée |
Les marques les plus touchées illustrent aussi l’intérêt des cybercriminels pour les environnements connus. Mastercard a été citée avec 14 233 QR codes malveillants, devant Microsoft avec 11 796. Dans les e-mails, 67,6 % des QR codes malveillants étaient insérés sous forme d’image, contre 32,4 % via des caractères Unicode. Cette diversité renforce la capacité des attaquants à passer sous les radars.
Techniques utilisées par les cybercriminels
Le quishing repose sur plusieurs méthodes de distribution. La plus répandue consiste à intégrer un QR code dans un e-mail, sous forme d’image ou de texte Unicode, afin de pousser la victime à scanner rapidement. D’autres campagnes exploitent des documents PDF, des pièces jointes ou des supports physiques comme des affiches et des flyers.
Dans l’espace public ou dans les locaux d’une entreprise, les fraudeurs peuvent aussi coller un autocollant par-dessus un QR code légitime. Le support paraît normal à première vue, mais le scan renvoie vers une destination frauduleuse. Ce procédé est particulièrement efficace parce qu’il s’appuie sur un geste devenu banal, presque automatique.
Le scénario type d’une attaque par QR code
L’attaque commence souvent par un message qui joue sur l’urgence. Il peut s’agir d’une fausse vérification d’identité, d’une menace d’annulation de compte ou d’un prétendu problème de sécurité. L’objectif est de provoquer un scan immédiat, sans vérification préalable.
Après le scan, la victime arrive sur une page qui imite celle d’un service connu, d’une banque ou d’un outil interne. Elle y saisit ses identifiants, un code MFA, ses coordonnées bancaires ou d’autres données sensibles. Dans certaines variantes, le QR code lance directement le téléchargement d’une charge malveillante sur le terminal.
Des techniques qui évoluent en continu
Les rapports APWG montrent que les attaquants modifient régulièrement leurs infrastructures, leurs cibles et leurs scénarios. Dès qu’un mécanisme de détection progresse, ils changent de méthode pour conserver un avantage. Le quishing profite ainsi d’un environnement où les filtres sont davantage conçus pour repérer des mots, des liens ou des signatures connues.
Cette capacité d’adaptation explique pourquoi la menace continue de croître malgré les alertes. Les fraudeurs savent que le QR code, perçu comme un outil simple et fiable, suscite moins de méfiance qu’un lien cliquable dans un courriel. Ils exploitent donc la confiance accordée au support visuel.
Quels risques pour les entreprises et leurs collaborateurs ?
Pour une entreprise, le quishing peut entraîner une fuite d’identifiants, une compromission de comptes internes ou la diffusion de données confidentielles. Un simple scan peut suffire à donner accès à une messagerie, à un portail RH, à un outil de gestion ou à un espace bancaire. Le vol d’accès devient alors un point d’entrée vers des attaques plus larges.
Le risque ne se limite pas aux informations volées. Un QR code piégé peut aussi installer un malware sur un smartphone, un ordinateur portable ou une tablette. À partir de là, l’attaquant peut surveiller des échanges, intercepter des codes de validation ou préparer une intrusion plus profonde dans le système d’information.
Les environnements professionnels sont exposés à plusieurs niveaux. Un e-mail compromis peut servir à cibler des partenaires ou des clients au nom de l’entreprise. Dans les locaux, un faux QR code posé sur une borne, une affiche ou un présentoir peut détourner des collaborateurs vers un site frauduleux sans éveiller de soupçon immédiat.
Les conséquences sont concrètes, avec des accès non autorisés à des réseaux, des pertes financières directes, des blocages opérationnels et une atteinte à l’image de marque. Dans certains cas, une campagne se fait passer pour une mise à jour de sécurité, un message RH ou une demande IT interne, ce qui renforce sa crédibilité.
Signaux d’alerte et erreurs fréquentes
Un QR code suspect s’accompagne souvent d’un message pressant. Lorsqu’on demande de scanner vite pour éviter une sanction, une annulation ou une coupure de service, la prudence doit augmenter. L’urgence artificielle reste l’un des meilleurs leviers des fraudeurs.
Un autre signal d’alerte concerne l’aspect physique du code. Un autocollant superposé sur un support officiel, une affiche abîmée ou un code mal intégré doivent éveiller l’attention. Sur le plan numérique, une absence de prévisualisation claire de la destination ou une URL raccourcie et incohérente sont aussi des indices à prendre au sérieux.
Les erreurs fréquentes sont souvent simples, mais coûteuses. Beaucoup d’utilisateurs scannent sans vérifier la destination affichée, saisissent leurs identifiants sur un site inconnu ou ignorent le contrôle du support papier. D’autres oublient de surveiller leurs comptes bancaires après une interaction suspecte, ce qui retarde la détection d’une fraude.
Bonnes pratiques pour protéger votre entreprise contre le quishing
La protection contre le quishing repose sur des mesures humaines, techniques et organisationnelles. Il faut d’abord faire comprendre que le QR code n’est pas un objet neutre. Il peut contenir une redirection vers un site légitime, mais aussi vers une page malveillante ou une action indésirable.
Sensibilisation et formation des collaborateurs
La sensibilisation doit expliquer comment les cybercriminels utilisent les QR codes et pourquoi cette méthode fonctionne. Des exemples concrets de campagnes récentes aident à ancrer le message, notamment quand le scénario joue sur la sécurité, les ressources humaines ou l’accès aux services internes.
La formation doit aussi inclure les usages physiques. Un code collé sur une affiche, dans une salle de réunion ou sur un support d’accueil peut être détourné. Le bon réflexe consiste à vérifier l’origine du QR code avant tout scan, même lorsqu’il semble provenir d’un environnement familier.
Sécurisation des outils et des processus
Le NCSC suisse recommande d’utiliser une application de scan fiable qui affiche systématiquement un aperçu avant l’exécution. Cette étape permet de vérifier la destination réelle et d’éviter un clic aveugle. Le même organisme rappelle qu’il ne faut jamais saisir d’identifiants sur un site atteint via un QR code sans validation préalable.
Le NCSC irlandais conseille aussi de vérifier la présence de https:// et du symbole de verrouillage avant toute saisie sensible. En cas de doute, il vaut mieux interrompre le parcours. Pour les QR codes installés en interne ou diffusés publiquement, un contrôle régulier s’impose afin de détecter un détournement par autocollant ou par substitution.
Voici les réflexes à intégrer dans les procédures de sécurité.
- Prévisualiser la destination avant d’ouvrir la page ou d’exécuter une action.
- Refuser toute saisie sensible tant que le site n’a pas été vérifié.
- Inspecter les QR codes physiques pour repérer un ajout ou un remplacement.
- Utiliser des lecteurs capables de signaler les liens suspects.
- Signaler immédiatement toute anomalie au service concerné.
Réponse en cas d’incident
Si une attaque semble avoir réussi, il faut agir vite. Le premier réflexe consiste à changer les mots de passe concernés et à prévenir l’équipe informatique ou le prestataire de sécurité. Si des données bancaires ont pu être exposées, la banque ou le fournisseur de paiement doit être alerté sans délai.
Un plan de reprise d’activité (PRA) aide à structurer la réponse et limiter l’impact.
Une analyse antivirus complète doit ensuite être lancée sur le ou les terminaux touchés. En cas de fraude avérée, il est aussi recommandé de déposer une alerte auprès de la police locale et de prévenir l’organisation usurpée, afin de limiter l’extension de la campagne et d’aider à son signalement.
Contrôles réguliers et supervision
La surveillance des comptes et des opérations financières reste un pilier de défense. Un suivi régulier permet de repérer plus tôt des mouvements inhabituels, des connexions suspectes ou des activités qui sortent du cadre attendu. Cette vigilance doit être intégrée aux routines de contrôle.
Le quishing doit aussi figurer dans les audits de cybersécurité et dans la politique de gestion des risques. En l’intégrant aux vérifications périodiques, l’entreprise évite de traiter ce sujet comme une menace ponctuelle alors qu’il s’agit d’un vecteur désormais installé.
Vulgariser les consignes pour tous
Les consignes gagnent en efficacité lorsqu’elles sont simples et faciles à retenir. Il faut dire clairement ce qu’il faut faire, ce qu’il faut éviter et à qui remonter un doute. Une règle trop complexe finit souvent ignorée sur le terrain.
L’idéal est d’associer des messages courts, des exemples visuels et des outils de protection capables de bloquer ou signaler les liens suspects. Plus les collaborateurs comprennent la logique de l’attaque, plus ils deviennent capables d’éviter le piège au moment du scan.
Le quishing profite de la confiance accordée aux QR codes, mais une vigilance structurée permet déjà de réduire fortement le risque. En combinant formation, contrôle des supports et vérification systématique des destinations, votre entreprise renforce sa défense face à une menace qui continue de gagner du terrain.
