Un e-mail de phishing avec QR code vous demande de scanner un code, généralement pour « revalider » un compte, signer un document ou réinitialiser un mot de passe. Les pirates utilisent les QR codes parce que les filtres de messagerie lisent mal un lien caché dans une image, et parce que le scan vous fait passer sur votre téléphone, où les fausses pages de connexion sont plus difficiles à repérer.
Le phishing (ou hameçonnage) existe depuis aussi longtemps que l'e-mail, mais sa variante par QR code, souvent appelée quishing, est plus récente. Au lieu d'un lien bleu que l'on peut survoler avec la souris, il y a une image carrée. Ce guide explique pourquoi les attaquants aiment cette méthode, à quoi ressemblent ces e-mails et ce que salariés comme entreprises peuvent faire pour se protéger.
Pourquoi les pirates mettent des QR codes dans leurs e-mails
Du point de vue d'un escroc, un QR code règle plusieurs problèmes d'un coup.
- Il masque le lien. Personne ne sait lire un QR code, donc impossible de repérer d'un coup d'œil une adresse web suspecte.
- Il peut passer entre les mailles des filtres. Beaucoup d'outils de sécurité e-mail comparent les liens texte à des listes de sites malveillants connus. Un lien dans une image est plus difficile à analyser, même si les outils modernes scannent de plus en plus les images.
- Il vous fait changer d'appareil. Vous lisez l'e-mail sur un ordinateur professionnel protégé par la sécurité de l'entreprise, mais vous scannez avec un téléphone personnel souvent moins protégé.
- Les petits écrans cachent les détails. Sur un téléphone, la barre d'adresse est courte et une fausse page de connexion ressemble beaucoup à la vraie.
- Il paraît moderne et officiel. Banques, compagnies aériennes et employeurs utilisent des QR codes, donc un code dans un e-mail n'éveille pas forcément les soupçons.
À quoi ressemble un e-mail de phishing par QR code
Ces e-mails varient, mais suivent généralement des schémas familiers. Thèmes fréquents :
- « Votre mot de passe expire aujourd'hui. Scannez pour conserver votre mot de passe actuel. »
- « L'authentification multifacteur doit être réactivée. Scannez avec votre téléphone. »
- « Un document partagé vous attend. Scannez pour le consulter. »
- « Les informations concernant votre salaire ou votre prime ont été mises à jour. »
- « Un colis ou une facture nécessite votre confirmation. »
Signaux d'alerte typiques :
- L'urgence : un délai très court ou la menace d'un blocage de compte.
- Un expéditeur étrange : le nom affiché indique « Support informatique » ou une marque connue, mais l'adresse e-mail ne correspond pas.
- Peu de texte, un gros code : le message se résume à une image avec un QR code et une courte consigne.
- Une formule de politesse générique au lieu de votre nom.
- Une page de connexion après le scan : le code mène à une page qui demande votre e-mail professionnel et votre mot de passe, ou un code à usage unique.
Ce dernier point est le plus important. Un vrai service informatique n'a quasiment jamais besoin que vous vous connectiez via un QR code envoyé par e-mail.
Que faire si vous en recevez un
Si vous êtes salarié et qu'un e-mail suspect avec QR code arrive :
- Ne le scannez pas avec votre téléphone.
- Ne le transférez pas à des collègues pour leur demander s'il est authentique : quelqu'un pourrait le scanner.
- Signalez-le avec le bouton de signalement de phishing de votre entreprise ou en contactant le service informatique par un canal connu.
- Vérifiez vous-même votre compte. Si l'e-mail parle de votre mot de passe ou d'un document, allez directement sur le service par son adresse habituelle ou son application.
- Supprimez-le une fois signalé, si la procédure de votre entreprise le prévoit.
Si vous avez déjà scanné le code et saisi vos identifiants, agissez vite. Changez votre mot de passe, prévenez immédiatement le service informatique et suivez les étapes de notre guide sur la marche à suivre si vous avez scanné un QR code malveillant.
En dehors du travail, les mêmes réflexes s'appliquent. Pour savoir où mène un code sans l'ouvrir, un lecteur qui affiche d'abord la destination, comme le lecteur de QR code en ligne de QR-TH, vous permet de regarder avant de cliquer.
Comment les entreprises protègent leurs salariés
Aucun outil ne bloque à lui seul toutes les tentatives de phishing par QR code. Une bonne protection combine technologie, procédures et humains.
Outils de messagerie et de sécurité
- Utiliser une sécurité e-mail capable de détecter les QR codes dans les images et pièces jointes et de vérifier les liens qu'ils contiennent
- Garder actives la vérification des liens et la protection de navigation sécurisée sur les appareils de l'entreprise et, si possible, sur les téléphones gérés
- Signaler clairement les e-mails provenant de l'extérieur, surtout ceux qui utilisent des noms à consonance interne
Une authentification solide
- Exiger l'authentification multifacteur pour tous les comptes des salariés
- Privilégier, quand c'est possible, des méthodes résistantes au phishing comme les clés d'accès (passkeys) ou les clés de sécurité, car les codes à usage unique peuvent encore être soutirés sur une fausse page
- Encourager les applications d'authentification plutôt que les SMS. Notre guide sur l'authentification à deux facteurs présente les options.
- Surveiller les connexions inhabituelles, par exemple depuis un nouveau pays ou un nouvel appareil
Des procédures claires
- Faire savoir que le service informatique ne demandera jamais de se connecter via un QR code reçu par e-mail
- Proposer un moyen simple et unique de signaler les messages suspects, et remercier ceux qui l'utilisent
- Prévoir un plan pour réinitialiser rapidement les mots de passe et fermer les sessions lorsqu'une erreur est signalée
Une sensibilisation qui marque les esprits
- Montrer en formation des exemples réalistes d'e-mails de phishing par QR code
- Enseigner une question simple : « Pourquoi faudrait-il un QR code pour ça ? »
- Organiser des simulations de phishing incluant des QR codes, suivies d'un retour bienveillant plutôt que de reproches
Les salariés qui se sentent en confiance pour signaler une erreur la signalent plus vite, ce qui limite les dégâts.
Les QR codes légitimes dans les e-mails
Tous les QR codes reçus par e-mail ne sont pas malveillants. Billets d'événement, cartes d'embarquement et certains appairages de connexion en utilisent légitimement. La différence tient souvent au contexte : vous attendiez cet e-mail, il concerne une action que vous avez faite, et le code est quelque chose que vous présentez ou utilisez dans une application connue, pas une invitation à taper votre mot de passe sur une page inconnue.
Les entreprises qui envoient de vrais QR codes peuvent aider en expliquant à quoi sert le code, en ajoutant à côté un lien reconnaissable comme alternative et en utilisant des domaines de confiance.
FAQ
Pourquoi les e-mails de phishing utilisent-ils des QR codes plutôt que des liens ?
Parce que le lien est caché à la fois aux personnes et à certains filtres, et parce que le scan fait passer la victime sur son téléphone, où les contrôles de sécurité et les indices visuels sont souvent plus faibles.
Ma messagerie peut-elle bloquer le phishing par QR code ?
Beaucoup de services de sécurité e-mail analysent désormais les images à la recherche de QR codes et vérifient les liens, mais aucun n'attrape tout. Votre propre vigilance reste une protection importante.
Est-il prudent de scanner un QR code reçu par e-mail de ma banque ?
Soyez prudent. Les banques demandent rarement de se connecter via un QR code envoyé par e-mail. Ouvrez plutôt l'application officielle de la banque ou tapez vous-même son adresse.
Que faire si j'ai saisi mon mot de passe professionnel après avoir scanné ?
Changez immédiatement le mot de passe, prévenez votre service informatique ou sécurité et laissez-le vérifier les connexions suspectes. La rapidité fait vraiment la différence.
Regardez avant d'ouvrir
Le phishing par QR code fonctionne quand on scanne sans réfléchir. Prenez l'habitude de vérifier : lorsqu'un code inattendu arrive, utilisez l'outil scanner un QR code en ligne de QR-TH pour voir où il mène avant d'ouvrir quoi que ce soit.