Les codes QR sont devenus un outil du quotidien pour effectuer des paiements, consulter des menus et se connecter à des services numériques. Cependant, cette familiarité a également été exploitée par les cybercriminels pour donner un nouvel élan à la fraude en ligne. La société de sécurité ESET a constaté une augmentation significative du quishing, une variante du phishing qui utilise ces codes à points pour rediriger les utilisateurs vers des sites web malveillants sans qu'ils puissent lire l'URL de destination.
Les derniers chiffres sont éloquents : le rapport ESET sur les menaces pour le premier semestre 2026 indique que les codes QR malveillants sont présents dans 11 % des courriels d’hameçonnage, avec une moyenne de plus de 1 100.000 détections par mois. L’Espagne se classe ainsi deuxième au monde en nombre d’attaques de ce type, juste derrière les États-Unis.
Qu’est-ce que le quishing et pourquoi connaît-il un tel essor ?
Le quishing est une variante du phishing classique, avec un élément supplémentaire : le lien malveillant est dissimulé dans un code QR. L’utilisateur scanne l’image et se retrouve sur un site web frauduleux capable de dérober ses mots de passe bancaires, ses identifiants de connexion, voire d’installer un logiciel malveillant sur son appareil.
L'une des raisons de son succès réside dans le fait que la destination du lien n'est pas immédiatement visible. Dans un courriel suspect, le domaine illégitime est clairement identifiable ; ici, tout est compressé dans un carré de pixels. De plus, ces codes sont intégrés aux messages sous forme d'image ou de PDF en pièce jointe, contournant ainsi de nombreux filtres de sécurité. Cette technique est d'autant plus efficace qu'elle transfère la communication de l'ordinateur professionnel au téléphone portable, un appareil souvent moins bien protégé.
L'ingénierie sociale joue également un rôle important. Les criminels utilisent l'image de marques connues, comme DocuSign ou Microsoft, et exploitent les situations d'urgence, par exemple en avertissant que le compte sera suspendu s'il n'est pas authentifié. Ainsi, le message arrive dans la boîte de réception et l'employé ne repère aucun des indicateurs habituels d'hameçonnage, car le lien ne contient aucun texte à lire.
Quishing en Espagne, une alerte qui ne s'arrête pas
L'Espagne est devenue un foyer important de ce type de fraude. ESET estime que 17 % des détections mondiales de quishing sont concentrées dans le pays, confirmant ainsi que cette technique y a trouvé un terrain fertile. L'un des cas les plus représentatifs a été résolu grâce à l'intervention de l'Institut national de la cybersécurité (INCIBE). Un client de restaurant a scanné le code QR du menu, qui avait été modifié, et s'est abonné sans le savoir à un service premium.
L'OCU (Association espagnole des consommateurs) a également mis en lumière le problème des faux codes QR apposés sur les voitures pour simuler des amendes. Lorsque la victime scanne le code pour payer l'amende, elle transmet ses informations bancaires à un site web frauduleux. Ces escroqueries ne s'arrêtent pas là : des autocollants comportant des codes QR frauduleux ont été observés recouvrant les codes authentiques des horodateurs et des vélos en libre-service. Les fraudeurs masquent l'original par un code imprimé qui redirige vers leur propre domaine.
Les laboratoires ESET indiquent qu'avril 2026 a marqué le pic des détections, bien que la série chronologique ait déjà commencé à montrer une augmentation constante. La sécurité mobile et la messagerie professionnelle constituent le principal rempart, mais les mauvaises habitudes des utilisateurs font le reste.
Les autres facettes de la fraude par QR code
Il ne s'agit pas uniquement de fraudes massives visant les clients des restaurants. Le service des impôts américain (IRS) a également détecté des campagnes utilisant des courriers déguisés en avis d'imposition, contenant un code QR promettant des vérifications de compte ou des documents pour les détenteurs de cryptomonnaies. En scannant ce code, la victime est redirigée vers un site web qui lui demande sa phrase de récupération ou sa clé privée – l'élément lui permettant de contrôler ses fonds numériques.
Le rôle des États est également en jeu dans ces pièges . Un avis du FBI datant de janvier 2026 mentionnait le groupe Kimsuky, prétendument lié à la Corée du Nord, comme responsable d'attaques de cyberespionnage par codes QR. Ce groupe utilisait de faux documents ou formulaires gouvernementaux pour accéder aux centres de recherche. Autrement dit, cette technique a également intégré l'arsenal des groupes APT, dans le but de compromettre des réseaux critiques.
Comment se protéger contre le quishing
La principale défense contre cette fraude est tout simplement d'apprendre à être sceptique. INCIBE recommande de prendre un instant avant de scanner un code QR affiché dans un lieu public. Si l'autocollant semble se décoller, présente des signes de falsification ou se trouve directement au-dessus d'un autre code, il ne faut pas l'utiliser. Concernant les courriels, méfiez-vous de tout message non sollicité vous incitant à scanner un code QR, surtout s'il vous presse excessivement par le temps.
Il est également conseillé de vérifier l'URL de destination du code. Si votre téléphone propose un aperçu du lien, soyez attentif aux fautes de frappe, aux noms de domaine raccourcis ou aux variantes inhabituelles de sites web connus. Désactiver l'ouverture automatique des liens lors de la lecture d'un code QR constitue une autre mesure de protection utile, aussi bien sur iOS que sur Android. Enfin, ne communiquez jamais vos informations de paiement, vos identifiants ou les détails de votre portefeuille électronique sans avoir préalablement vérifié la légitimité de la demande par un autre moyen.
Pour les entreprises, les experts d'ESET recommandent d'intégrer le quishing aux programmes de sensibilisation et aux simulations d'hameçonnage. La technologie est un autre élément clé : filtres de messagerie capables d'extraire et d'analyser les codes QR dans les fichiers, protection des appareils mobiles professionnels et authentification renforcée pour les comptes à privilèges élevés. L'application du principe du moindre privilège et la mise à jour régulière des logiciels sont des mesures supplémentaires permettant d'éviter qu'une analyse malveillante ne compromette gravement le réseau.
La popularité des codes QR n'est pas nouvelle, mais la menace qu'ils représentent l'est tout autant. Le quishing est désormais une menace bien établie qui consiste à transférer des données via un écran et un code binaire. Les mesures efficaces contre le phishing textuel fonctionnent également ici, à condition d'être appliquées avec bon sens. L'Espagne est déjà dans le collimateur, et la différence entre en être victime et éviter une mauvaise surprise tient à cette simple habitude de vérifier, avant de scanner, que la destination n'est pas une arnaque.