Le quishing QR code phishing consiste à piéger un QR code pour envoyer un salarié vers une fausse page de connexion, de paiement ou de téléchargement. Pour une PME, le sujet change surtout la gestion du risque : l’attaque contourne parfois les filtres mail classiques, bascule sur le smartphone personnel et vise souvent les identifiants Microsoft 365. La bonne réponse mêle procédures simples, protection email, MFA robuste et sensibilisation courte.
Qu’est-ce que le quishing QR code phishing ?
L’ANSSI définit en 2024 le quishing comme du « filoutage par code à réponse rapide » : un QR code redirige la victime vers une ressource malveillante, par exemple un faux site ou un logiciel piégé. En clair, c’est du phishing, mais avec une étape visuelle qui masque souvent l’adresse réelle.
Le scénario le plus courant est simple. Un collaborateur reçoit un email avec un QR code dans le corps du message, dans une image ou dans une pièce jointe PDF. Il le scanne avec son téléphone, arrive sur une page qui ressemble à Microsoft 365, La Poste, une plateforme de paiement ou un portail interne, puis saisit ses identifiants.
Cybermalveillance.gouv.fr signalait déjà en 2023 l’apparition régulière de faux QR codes dans l’actualité française : fausses amendes, faux avis de livraison La Poste, faux codes collés sur des horodateurs ou bornes de recharge, et fausses confirmations Office 365. En 2024, le phénomène restait encore marginal en France face au phishing classique, mais ce détail ne doit pas rassurer à tort. Une attaque rare peut suffire si elle touche la comptabilité, la direction ou un administrateur.
Les chiffres récents montrent une accélération côté email. Microsoft Threat Intelligence a indiqué qu’au premier trimestre 2026, le phishing par QR code était passé d’environ 7,6 millions de menaces en janvier à 18,7 millions en mars, soit une hausse de 146 %. À l’échelle mondiale, Microsoft disait avoir détecté autour de 8,3 milliards de menaces de phishing par email sur cette période.
Pourquoi les QR codes piègent mieux qu’un lien classique
Un lien frauduleux se voit. Pas toujours, mais assez souvent : nom de domaine bizarre, faute dans l’URL, extension inhabituelle. Un QR code, lui, condense tout dans une image. Tant que le téléphone n’affiche pas clairement l’adresse, le salarié ne peut pas juger.
Autre difficulté : le passage du poste de travail au mobile. Barracuda rappelle en 2026 que le scan déplace souvent l’attaque vers un appareil mobile, parfois en dehors du périmètre de sécurité de l’entreprise. Si le salarié utilise son smartphone personnel, sans protection mobile ni gestion centralisée, l’entreprise perd une partie de sa visibilité.
Le piège est particulièrement efficace avec Microsoft 365. Les attaquants copient l’apparence d’une page de connexion, puis récupèrent login, mot de passe et parfois code MFA (authentification multifacteur, le second facteur de connexion). Si le dispositif MFA est vulnérable aux attaques de type adversary-in-the-middle, c’est-à -dire un faux site placé entre l’utilisateur et le vrai service, le code temporaire peut être intercepté.
Sur les projets que nous menons, nous voyons souvent une faille d’organisation plutôt qu’une faille technique : personne ne sait vraiment qui doit valider un QR code ajouté à une facture PDF, à une affiche en boutique ou à un email marketing. Ce flou suffit. Le QR code devient un angle mort entre communication, informatique et métiers.
Exemples concrets en entreprise française
Premier cas fréquent : la fausse notification Microsoft 365. Le message annonce une vérification de sécurité, une expiration de mot de passe ou une validation d’accès. Le QR code mène vers une page qui reprend les codes visuels de Microsoft. Le collaborateur, pressé, scanne avec son mobile et se connecte.
Deuxième cas : la facture ou le bon de livraison en PDF. Le QR code semble permettre de consulter le détail, de payer ou de confirmer une réception. C’est crédible, car les factures, menus, badges visiteurs et formulaires administratifs utilisent déjà des QR codes. Le danger vient de cette banalité.
Troisième cas : l’affichage physique. Un autocollant frauduleux peut recouvrir un QR code légitime sur une borne, un comptoir, une affiche événementielle ou un parking. Pour une entreprise qui reçoit du public, le risque touche aussi l’image de marque : un client piégé associera l’incident au lieu où il a scanné.
Enfin, il existe un cas plus discret : le QR code dans une campagne interne. Inscription à un séminaire, enquête RH, accès au Wi-Fi invité. Si les salariés n’ont jamais appris à vérifier le domaine avant d’ouvrir, une fausse campagne peut être très convaincante.
Comment vérifier un QR code sans devenir technicien
La règle la plus utile tient en une phrase : traitez un QR code comme un lien. Un QR code n’est pas plus sûr parce qu’il est imprimé, joli ou placé dans un document qui ressemble à une facture. Il mérite les mêmes contrôles qu’une URL reçue par email.
- Regardez l’adresse affichée avant d’ouvrir : le domaine doit correspondre exactement au service attendu, par exemple microsoft.com et non une variante rallongée.
- Évitez de scanner un QR code inattendu reçu par email, surtout s’il demande une connexion Microsoft 365, un paiement ou des informations bancaires.
- En cas de doute, ouvrez directement le site officiel ou l’application officielle au lieu d’utiliser le QR code.
- Sur un support public, vérifiez qu’aucun autocollant n’a été posé par-dessus le code d’origine.
- Signalez le message au référent interne plutôt que de le supprimer seulement pour vous.
Ce dernier point compte beaucoup. Un signalement rapide permet de bloquer une campagne avant qu’elle ne touche la direction financière ou les équipes commerciales. Pour cadrer ce réflexe, un court mémo interne suffit souvent : quoi signaler, à qui, avec quelle capture.
Le même raisonnement vaut pour vos propres produits numériques. Si votre application mobile ou votre espace client utilise des QR codes pour connecter un compte, ouvrir un paiement ou récupérer des données, la sécurité ne doit pas être ajoutée en fin de projet. Les risques liés aux échanges entre mobile et serveur rejoignent ceux décrits dans une approche de sécurisation des API mobiles.
Quelles protections mettre en place côté entreprise ?
La première défense reste l’email. Les passerelles de sécurité modernes doivent être capables d’analyser les images et pièces jointes, de décoder les QR codes, puis de vérifier l’URL obtenue. Microsoft documente notamment des contrôles de type analyse des QR codes, réécriture d’URL et sandboxing, c’est-à -dire l’ouverture contrôlée d’un lien dans un environnement isolé.
Attention toutefois à ne pas tout attendre d’un filtre. Certains QR codes sont intégrés dans des PDF, d’autres sont obfusqués, raccourcis ou conçus pour déplacer l’action sur mobile. Honnêtement, une PME qui se contente d’une messagerie « incluse » sans politique de sécurité vérifiée prend un risque évitable, surtout si elle utilise largement Microsoft 365.
| Mesure | Ce qu’elle réduit | Ordre de coût en France | Délai réaliste |
|---|---|---|---|
| Paramétrage renforcé Microsoft 365 ou Google Workspace | Usurpation, liens suspects, règles faibles | Autour de 800 à 2 500 € selon taille et audit initial | 2 à 5 jours |
| Passerelle email avec analyse QR/PDF | QR codes en emails et pièces jointes | Souvent 3 à 8 € par utilisateur et par mois selon les prestataires | 1 à 3 semaines |
| MFA résistante au phishing, dont passkeys | Vol d’identifiants et interception de codes | Variable selon licences ; projet souvent à partir de 2 000 € | 2 à 6 semaines |
| Sensibilisation avec simulations courtes | Scans impulsifs, absence de signalement | Autour de 1 000 à 5 000 € par campagne PME | 2 à 4 semaines |
| Protection mobile ou MDM léger | Perte de visibilité sur smartphones | Souvent 4 à 12 € par appareil et par mois | 2 à 8 semaines |
Ces montants sont des ordres de grandeur du marché français, pas des tarifs universels. Le coût dépend du nombre d’utilisateurs, des licences déjà en place, de l’historique de configuration et du niveau de contrainte métier. À ce budget, mieux vaut prioriser les comptes sensibles avant de chercher une couverture parfaite.
La MFA mérite un arbitrage à part. Les codes SMS ou les codes temporaires dans une application protègent mieux qu’un simple mot de passe, mais ils ne résistent pas toujours aux faux portails. Les passkeys, basées sur une clé cryptographique liée au domaine, réduisent fortement ce risque ; le sujet est détaillé pour les sites web dans ce guide sur les passkeys comme alternative aux mots de passe et, côté mobile, dans cette analyse des passkeys intégrées aux applications.
Le piège budgétaire : acheter un outil sans changer les usages
Un outil de sécurité qui détecte les QR codes malveillants est utile. Mais il ne couvre pas un QR code collé dans un hall d’accueil, envoyé par SMS à un commercial ou imprimé sur une fausse facture remise à la réception. Le quishing QR code phishing oblige donc à sortir d’une vision purement email.
Le bon niveau de réponse dépend de votre exposition. Une société B2B de 20 personnes avec peu de paiement en ligne n’a pas les mêmes besoins qu’un réseau de points de vente, une plateforme SaaS ou une entreprise qui traite des données sensibles au sens du RGPD, applicable depuis 2018. La question n’est pas « quel outil acheter ? » mais « quels scénarios peuvent coûter cher ? »
Côté agence, le réflexe est de cartographier les QR codes légitimes avant de parler solutions : supports imprimés, emails transactionnels, application mobile, badges, factures, événements. On découvre parfois des codes créés il y a trois ans vers une page non maintenue, un vieux raccourcisseur d’URL ou un domaine qui pourrait expirer. Mauvaise surprise classique.
Si vous éditez une application, vérifiez aussi que la lecture d’un QR code ne déclenche pas d’action sensible sans confirmation : connexion, ajout de moyen de paiement, récupération de document ou appel API. Une revue avant publication, proche d’une checklist de sécurité applicative mobile, évite des corrections coûteuses après incident.
Plan d’action pragmatique pour les 30 prochains jours
Commencez par les comptes à fort impact : direction, finance, RH, administrateurs Microsoft 365, équipes support. Activez ou vérifiez la MFA, supprimez les règles de transfert suspectes, contrôlez les domaines autorisés et testez la capacité de votre messagerie à analyser un QR code dans un PDF.
Ensuite, formalisez une règle interne courte. Pas une charte de 18 pages. Une page : ne pas scanner un QR code inattendu, vérifier le domaine, passer par l’application officielle en cas de doute, signaler au canal prévu. Faites-la relire par une personne non technique ; si elle ne comprend pas, elle ne sera pas appliquée.
Troisième étape : testez. Une simulation raisonnable, annoncée comme exercice de sécurité mais sans humiliation individuelle, donne de meilleurs résultats qu’un discours anxiogène. Le but est de mesurer le taux de signalement, pas de piéger les salariés.
Enfin, surveillez vos propres QR codes publics. Inventoriez-les, notez leur destination, leur propriétaire interne et leur date de retrait prévue. Un QR code imprimé vit parfois plus longtemps que le site vers lequel il pointe.
Cadrer ce type de risque en amont évite la plupart des mauvaises surprises : choix d’authentification, configuration email, parcours mobile, supports imprimés. Un regard extérieur aide surtout à prioriser ce qui mérite un budget maintenant et ce qui peut attendre sans exposer l’entreprise.
FAQ sur le quishing et les QR codes piégés
Le quishing est-il plus dangereux que le phishing classique ?
Il n’est pas toujours plus dangereux, mais il est plus trompeur dans certains contextes. Le QR code masque l’URL et pousse souvent l’utilisateur vers son téléphone, parfois moins protégé que son ordinateur professionnel.
Comment reconnaître un QR code frauduleux ?
Un QR code frauduleux se repère surtout par son contexte : demande inattendue, urgence, paiement, connexion Microsoft 365, support public modifié. Avant d’ouvrir, vérifiez le domaine affiché et passez par le site officiel si le moindre doute subsiste.
Microsoft 365 protège-t-il automatiquement contre le quishing ?
Pas automatiquement dans toutes les configurations. Certaines protections existent selon les licences et réglages, mais il faut vérifier l’analyse des images, des PDF, des URL et la robustesse de la MFA.
Faut-il interdire les QR codes en entreprise ?
Non, ce serait rarement réaliste. Il vaut mieux encadrer leur création, inventorier les QR codes publics, former les équipes et bloquer les usages à risque comme les connexions sensibles depuis un code non vérifié.