Le quishing est devenu l'une des menaces les plus rapidement croissantes dans le domaine du phishing. Le principe est simple : un code QR apparemment inoffensif dissimule une adresse frauduleuse. Microsoft a quantifié cette croissance : en mars 2026, l'entreprise a détecté 18,7 millions d'attaques de ce type , contre 7,6 millions en janvier, soit une augmentation de 146 % en seulement trois mois.
Le problème réside dans des actions désormais ancrées dans notre quotidien. Consulter le menu d'un restaurant, payer son parking, télécharger un billet ou rechercher des informations touristiques sont devenus monnaie courante. Les cybercriminels exploitent cette familiarité. Les experts d'Áudea, la branche cybersécurité de Logicalis Espagne, soulignent que l'adresse web reste invisible jusqu'à l'ouverture du lien, réduisant ainsi les signes d'alerte qu'un utilisateur pourrait déceler au premier abord.
Pourquoi un code QR dissimule la supercherie et permet de passer directement de l'ordinateur au mobile
Contrairement à un lien texte, un code QR n'affiche pas l'URL avant d'être scanné. Andrés Cartes Guilarte, consultant en culture de cybersécurité chez Áudea, souligne que cette opacité représente un atout majeur pour les attaquants. L'utilisateur ne peut vérifier la légitimité de la destination et, bien souvent, le scan est effectué depuis un téléphone mobile , ce qui déplace l'interaction hors du réseau informatique de l'entreprise et échappe à ses contrôles de sécurité.
Une fois le lien ouvert, la victime peut se retrouver sur des pages imitant des services d'entreprise, des plateformes bancaires ou des écrans d'authentification. L'objectif varie selon le type de fraude, mais il s'agit généralement d' obtenir des identifiants, des données personnelles ou des informations financières . Cette usurpation d'identité est plus crédible lorsque le message arrive dans un contexte familier, comme une prétendue communication interne ou une notification d'une entité que l'utilisateur utilise régulièrement.
Microsoft a également recensé environ 8.300 milliards de tentatives d'hameçonnage diffusées par courriel au cours de la même période. L'entreprise a décrit le quishing comme le vecteur d'attaque ayant connu la croissance la plus rapide durant cette période, une tendance qui coïncide avec l'utilisation croissante des codes QR dans tous les types d'environnements.
PDF, courriels et documents Microsoft 365 : les canaux privilégiés
Le rapport 2026 de Barracuda sur les menaces liées aux courriels révèle plusieurs constats alarmants. 70 % des PDF malveillants analysés contenaient des codes QR redirigeant vers des pages d'hameçonnage. Autrement dit, le document sert de leurre pour tromper la victime et l'inciter à faire confiance au fichier sans se méfier du code malveillant qu'il renferme.
Le même rapport indique que 56 % des documents Microsoft 365 malveillants contenaient des techniques de quishing. De plus, l'intégration de codes directement dans le corps des courriels a augmenté de 336 % en mars 2026. Les attaquants ne se limitent pas aux pièces jointes : ils placent également le code QR dans le texte même du message afin d'accroître les chances qu'il soit scanné.
Le rapport d'ESET sur les menaces pour le premier semestre 2026 indique que jusqu'à 11 % des attaques de phishing perpétrées au cours de cette période ont utilisé la technique du quishing. L'entreprise met en garde contre la sophistication croissante de ces techniques : certaines campagnes visent à obtenir des jetons d'authentification multifacteurs, à installer des logiciels malveillants, à inciter les victimes à télécharger des applications malveillantes ou encore à utiliser des applications mobiles légitimes dans le cadre de l'escroquerie.
Josep Albors, responsable de la recherche et de la sensibilisation chez ESET Espagne, explique que les attaquants peuvent dissimuler davantage le code en l'intégrant dans des fichiers PDF, des images JPEG ou d'autres documents , ou en utilisant des services qui raccourcissent les URL avant de générer le code QR. Parallèlement, le message accompagnant le code peut être très court, éliminant ainsi les indices classiques tels que les fautes d'orthographe, les liens visibles ou les domaines inhabituels.
Du menu du restaurant au parking : risques physiques et mesures de protection
Le danger ne se limite pas à votre boîte de réception. Les codes QR placés dans les restaurants, les magasins, les transports en commun, les parkings et les services touristiques présentent le même problème : impossible de vérifier la page affichée avant de les scanner. De plus, dans les lieux publics, le code peut avoir été falsifié ou remplacé par un code frauduleux.
En août, INCIBE a documenté un cas réel illustrant parfaitement ce risque. Un utilisateur a scanné le QR code du menu d'un restaurant et, après avoir cliqué sur le lien et accepté une fenêtre contextuelle, a activé par inadvertance un abonnement premium non sollicité . D'autres clients du même établissement ont rencontré des problèmes similaires, démontrant ainsi que le problème n'était pas un incident isolé.
Le développement de cette technologie explique en partie le phénomène. Selon les données compilées par QR TIGER, environ 75 % des restaurants dans le monde utilisent déjà les codes QR pour faciliter l'accès aux menus numériques. L'utilisation de cet outil en marketing et en publicité a augmenté de 323 % entre 2021 et 2023, un chiffre qui contribue à expliquer l'intérêt que lui portent les criminels.
Pour les entreprises, ESET recommande d'intégrer le quishing aux programmes de sensibilisation et aux exercices de simulation afin que les employés apprennent à reconnaître les codes QR suspects. L'entreprise déconseille également de scanner les codes contenus dans les courriels non sollicités et recommande de signaler tout message suspect.
Lorsqu'un employé pense qu'un message provient d'une source fiable, il est conseillé de le vérifier par un canal indépendant , en utilisant des coordonnées ne figurant pas dans le courriel. Cette vérification permet d'éviter que la confirmation ne repose sur des informations transmises par un potentiel attaquant.
La protection technique est également essentielle. Parmi les mesures mentionnées figurent les solutions de sécurité de messagerie, les outils de sécurité mobile, la gestion des appareils via une solution MDM, l'authentification multifacteur résistante au phishing , le principe du moindre privilège, l'accès juste à temps, les mises à jour régulières et la surveillance des comportements anormaux. De plus, il est indispensable de tester les plans de réponse aux incidents afin de garantir une réaction rapide en cas d'attaque.
- Sécurité des e-mails et des appareils mobiles bloquer les liens et les codes malveillants.
- Gestion des appareils MDM appliquer les politiques minimales.
- MFA résistant au phishing et le principe du moindre privilège.
- Mises à jour, accès en temps réel et une surveillance continue.
Le constat qui se dégage de ces chiffres est sans appel : les codes QR se sont imposés dans notre quotidien grâce à leur praticité, leur rapidité et leur omniprésence. C’est précisément cette omniprésence qui rend la détection des menaces particulièrement difficile. La clé est de rester vigilant face à l’inattendu , de vérifier le contexte avant de scanner et de mettre en œuvre des mesures de sécurité qui accompagnent l’utilisateur de ses e-mails à ses appareils mobiles, en passant par les documents et les espaces physiques.
