Cybersécurité: Le code QR, nouvel appât des cybercriminels

Cependant, cette large diffusion s'est accompagnée d'un développement des méthodes de cyberfraude, après que les pirates ont trouvé dans cette technologie un nouveau moyen d'attirer les victimes en dissimulant des liens malveillants. Ces derniers visent à voler des données personnelles ou bancaires, en exploitant la confiance que de nombreux utilisateurs accordent à ces codes sans vérifier leur source ou la destination vers laquelle ils mènent.

À la lumière de la dépendance croissante à l'égard de cette technologie, les experts en cybersécurité mettent en garde contre les dangers du balayage aléatoire des codes QR, car cela peut conduire à l'accès à des sites électroniques falsifiés, au téléchargement de logiciels malveillants ou à la divulgation de données personnelles et sensibles à l'insu de l'utilisateur.

Le "Quishing"Comment une simple opération de balayage se transforme-t-elle en cyberattaque ?

Dans ce contexte, l'expert en cybersécurité et en intelligence artificielle, le Dr Tayeb Hazzaz, a expliqué que les codes QR sont devenus, ces dernières années, un outil quotidien utilisé pour faciliter la vie numérique, que ce soit pour le paiement électronique, l'accès rapide aux sites ou le téléchargement d'applications. Cependant, cette même facilité en a fait un nouveau moyen exploité par les pirates dans les opérations d'escroquerie et de fraude cybernétique.

Sur le plan technique, Hazzaz a souligné que le danger réside dans le fait que l'utilisateur ne voit pas le lien réel caché à l'intérieur du code QR avant son balayage. Dès que la caméra du téléphone est dirigée vers le code, un lien qui peut être dangereux s'ouvre sans aucune vérification préalable, soulignant que c'est ce qui est connu dans le monde de la sécurité informatique sous le nom d'attaques "QR Phishing" ou "Quishing".

L'intervenant a précisé, dans une déclaration à SNRTnews, que les attaquants créent de faux codes QR et les placent dans des lieux publics tels que les restaurants, les parkings, ou même par-dessus des codes originaux, ou les envoient par courrier électronique et par messages. Dès que le code est balayé, la victime est dirigée vers un site falsifié qui semble identique à un site officiel (banque, entreprise, plateforme de paiement), où il lui est demandé de saisir des données privées telles que les mots de passe ou les informations de la carte bancaire.

Vol de données

Dans certains cas plus développés, l'attaque ne se contente pas de voler les données selon M. Hazzaz, mais télécharge également des logiciels dangereux sur le téléphone, ce qui permet à l'attaquant d'accéder aux messages, aux applications bancaires et même à l'authentification à double facteur.

L'intervenant a expliqué que parmi les exemples les plus marquants de ce type de fraude, dans le domaine des enquêtes numériques, figure le cas d'un directeur exécutif d'une entreprise internationale qui était en voyage d'affaires, où il a balayé un code QR installé dans un parking afin de payer les frais de stationnement. Cependant, le code était falsifié après qu'une partie criminelle l'a remplacé par un autre menant à une page électronique falsifiée.

Il a ajouté que la victime a saisi les données de sa carte bancaire en croyant effectuer une opération de paiement normale, avant que les fraudeurs ne réussissent à intercepter totalement ses données financières. Quelques heures seulement se sont écoulées avant que plusieurs transferts financiers ne soient exécutés et que de grosses sommes ne soient retirées de ses comptes, manquant d'épuiser l'ensemble de ses épargnes, avant qu'il ne réussisse à arrêter sa carte bancaire. L'enquête a révélé plus tard que l'opération faisait partie d'un réseau de fraude organisé ciblant particulièrement les hommes d'affaires et les voyageurs.

L'intervenant a expliqué que la gravité de ce type d'attaques réside dans son exploitation des facteurs de confiance et de rapidité, car de nombreux utilisateurs traitent les codes QR comme un moyen sûr, et leur balayage ne suscite pas chez eux les mêmes doutes qu'un lien électronique inconnu pourrait susciter, ce qui augmente les chances de réussite des opérations de fraude électronique.

Comment se protéger contre la fraude aux codes QR

En ce qui concerne les moyens de prévention, Hazzaz a insisté sur la nécessité d'éviter le balayage de tout code QR d'origine inconnue ou placé dans des endroits non fiables, en veillant à utiliser des applications qui permettent de prévisualiser le lien avant de l'ouvrir.

Il a également recommandé de vérifier l'adresse du site électronique (URL), en particulier lors de l'accès aux pages de paiement ou à la saisie de données personnelles ou bancaires, et de s'assurer de la crédibilité de la plateforme avant de partager toute information sensible.

Il a appelé, en contrepartie, à s'appuyer sur les moyens de paiement officiels via les applications connues et fiables, au lieu d'y accéder par des liens directs qui peuvent être falsifiés ou soumis à des manipulations.

En conclusion de son propos, l'intervenant a affirmé que le code QR n'est plus un simple outil technique pour faciliter l'accès aux services numériques, mais est devenu une entrée potentielle pour les attaques cybernétiques s'il est utilisé sans conscience ou vérification.

Il a souligné que la conscience numérique reste la première ligne de défense face à ce type de menaces, surtout à la lumière du développement accéléré des méthodes de fraude électronique qui sont devenues plus complexes et capables de cibler les victimes par des moyens difficiles à détecter.