Comment détecter un code QR malveillant

[laliche]

Impossible de dire si un QR code est piégé juste en le regardant. C’est simplement une image, et à l’œil nu, tout a l’air normal. Mais il y a moyen de flairer l’arnaque — le fameux “quishing” — si on prend la peine de jeter un œil autour et d’utiliser les bons outils avant de cliquer sur quoi que ce soit.

Révélation

D’abord, inspectez physiquement le support. Les escrocs adorent coller leurs propres autocollants sur les vrais QR codes : on trouve ces pièges sur les bornes de paiement, les parcmètres, sur les menus, un peu partout. Regardez : le code est-il mal aligné ? Collé à la va-vite ? Avec de la colle qui dépasse ou une hauteur bizarre par rapport au reste ? Méfiance.

Le contexte, ça compte aussi. Un QR code planté tout seul sur un mur, arrivé par mail ou par SMS sans explication, ou bien accompagné d’une promesse trop belle pour être vraie (“gagnez ici”, “urgence administrative”)… c’est louche. Si le support fait bricolé ou que le code atterrit comme un cheveu sur la soupe sur une affiche officielle, passez votre chemin.

Pour vraiment savoir à qui vous avez affaire, le mieux c’est de vérifier le lien avant même d’ouvrir quoi que ce soit. Les smartphones récents (iOS ou Android) et pas mal d’applications de sécurité montrent l’URL quand on scanne. Il faut la lire attentivement :

– Le domaine ne colle pas à l’annonce (ex : le lien renvoie vers paiement-parking-secure.com alors qu’il s’agit de la ville officielle).
– Le lien est raccourci via bit.ly ou tinyurl : classique pour masquer l’adresse réelle et éviter les filtres de sécurité.
– Il manque le cadenas HTTPS, ou le domaine contient des fautes bizarres — ça, c’est presque toujours du phishing.

Pour creuser plus loin, surtout en entreprise ou si vous doutez, passez par des outils spécialisés. Certains services analysent le QR code sans ouvrir le site sur votre appareil : ils décodent l’adresse et la vérifient dans leurs bases de données. Par exemple, Trend Micro QR Scanner, Kaspersky QR Scanner, ou les sites comme DoItQR Diagnostic ou CyberConfiance vous permettent de scanner le code dans un environnement sécurisé. Ils passent le lien au crible sur une grosse quinzaine de critères (ancienneté du domaine, liste noire, redirections louches, etc.) et vous disent clairement si le lien est sûr, suspect, ou carrément dangereux — avant que vous soyez tenté de cliquer.

NB/ L'installation Trend Micro QR Scanner ou Kaspersky QR Scanner via le Play Store depuis l'Algerie n'est pas proposée. Il faut se rendre un site-mirroir comme apkcombo.com pour pouvoir télécharger les APK de ces applications

 

 

Modifié il y a 16 heures par laliche