Pourquoi les QR codes piégés passent-ils à travers les filtres anti-spam ?

Le quishing, en deux mots

Le « quishing » est la contraction de « QR code » et de « phishing » (hameçonnage). Le principe ne change pas : vous faire arriver sur une fausse page pour vous voler un mot de passe, des données bancaires, ou vous faire installer une application malveillante. Seule différence : le lien piégé est caché dans un QR code.

Le Centre pour la Cybersécurité Belgique (CCB) a noté que 2023 a été l'année de la percée de ce procédé : apparu en 2022, il « n'est plus une exception ». Le CCB souligne le cœur du problème : quand on scanne un QR code, on ne voit pas tout de suite vers quel site il mène.

Pourquoi le filtre anti-spam le laisse passer

Un filtre anti-spam lit d'abord les liens et le texte d'un mail. Un QR code, lui, est une image. Microsoft l'explique dans un billet de son équipe Defender pour Office 365 : le QR code « apparaît comme une image » pendant l'acheminement du mail et reste illisible tant qu'il n'est pas décodé.

Microsoft donne deux raisons au succès de ces attaques, et observe d'autres astuces dans les mails piégés :

• L'attaque change d'appareil. On scanne avec son GSM, souvent personnel, qui n'a pas les protections de l'ordinateur du bureau.
• Le petit écran cache les indices. Sur un téléphone, l'adresse du site est courte, tronquée, et les signes d'alerte se voient mal.
• Peu ou pas de texte. Moins il y a de mots, moins le filtre a d'indices pour juger le message.
• Le QR code est caché ailleurs : dans une image plus grande, ou dans une pièce jointe PDF plutôt que dans le corps du mail.

Les filtres se sont adaptés. Fin 2023, Microsoft a ajouté la lecture des QR codes à la protection de sa messagerie et annonçait bloquer environ 1,5 million de mails de quishing par jour. Mais aucun filtre n'est parfait, et un QR code collé sur une borne ou imprimé sur une lettre ne passe par aucun filtre.

Les pièges les plus courants

Le faux remboursement du SPF Finances a fait l'objet d'une alerte de Safeonweb en juillet 2026. Le rappel vaut pour toutes les administrations : elles ne vous demandent pas de scanner un QR code pour confirmer vos coordonnées bancaires. Safeonweb a aussi signalé les faux QR codes sur les bornes de recharge.

Un scénario typique

Exemple, inventé pour illustrer. Un mardi matin, la secrétaire d'un cabinet reçoit un mail aux couleurs de Microsoft : « Votre boîte sera désactivée aujourd'hui. Scannez ce code pour garder l'accès. » Le mail ne contient presque pas de texte, aucun lien : juste un logo et un QR code. Le filtre ne le bloque pas.

Elle sort son GSM, scanne, arrive sur une page de connexion Microsoft parfaitement imitée et tape son mot de passe. Sur le petit écran, elle ne voit pas que l'adresse n'a rien à voir avec Microsoft. L'ordinateur du bureau, protégé, n'a jamais vu passer la page.

Ce qui l'aurait arrêtée : une seule règle, connue de toute l'équipe. Un QR code qui demande de se connecter à un compte professionnel, c'est toujours non.

Ce qu'il faut dire à l'équipe

Pas besoin d'une formation de deux heures. Ces cinq phrases, répétées en réunion d'équipe et affichées près des postes, couvrent l'essentiel. Elles reprennent les conseils de Safeonweb sur le quishing.

1. Un QR code dans un mail, c'est un lien inconnu. Même prudence, même réflexe : d'où vient ce message, est-ce que je l'attendais ?
2. Jamais de mot de passe professionnel après un scan. Le service informatique, Microsoft ou la banque ne vous demandent pas de vous connecter par un QR code.
3. Lire l'adresse avant d'ouvrir. Après le scan, le téléphone affiche l'adresse du site : on prend le temps de la lire. Si elle ne correspond pas exactement au site attendu, on n'ouvre pas.
4. En cas de doute, on demande. Un coup de fil au collègue ou au prestataire informatique, sur un numéro connu, jamais celui donné dans le message.
5. On signale, même si on a cliqué. Plus vite on le sait, plus vite on agit. Personne ne sera grondé pour avoir prévenu.

Lundi matin : quatre gestes concrets

1. Désigner une personne à prévenir en cas de message suspect, avec son numéro, et le dire à tout le monde.
2. Montrer comment signaler : le bouton « Signaler » de votre messagerie s'il existe, et le transfert du mail à [email protected]. Le CCB extrait aussi les adresses cachées dans les QR codes et les captures d'écran : quand un site est reconnu malveillant, les internautes qui tombent dessus sont redirigés vers une page d'avertissement.
3. Vérifier vos propres QR codes : affiche de prise de rendez-vous en salle d'attente, QR code de paiement sur les factures, lien vers vos avis en ligne. Un autocollant posé par-dessus ? C'est exactement la technique des bornes de recharge.
4. Protéger les comptes : la double authentification sur tous les comptes professionnels, des téléphones à jour, et les applications installées uniquement depuis les magasins officiels (Google Play, App Store).

Pour aller plus loin, Microsoft recommande de déployer largement des méthodes de connexion résistantes à l'hameçonnage, comme les clés de sécurité ou les passkeys (clés d'accès), qui ne se laissent pas réutiliser par une fausse page. Microsoft conseille de commencer par les comptes administrateurs et par ceux qui ont accès à des données sensibles : direction, comptabilité, dossiers patients.

Quelqu'un a scanné et tapé quelque chose : que faire dans l'heure

Pas de panique, mais pas d'attente non plus. Ce qu'on fait dépend de ce qui a été donné.

Pour un compte Microsoft 365, changer le mot de passe ne suffit pas. Le guide de Microsoft sur les comptes compromis demande aussi de fermer les sessions déjà ouvertes, de retirer les méthodes de double authentification ajoutées par l'attaquant et de contrôler les règles qui transfèrent les mails vers l'extérieur. C'est le travail de votre administrateur ou de votre prestataire, et c'est urgent.

Si de l'argent a été volé, Safeonweb recommande de porter plainte auprès de la police, en ligne ou au commissariat. Et si l'attaquant a pu voir des données personnelles (dossiers patients, fichier clients), le RGPD impose de notifier la violation à l'APD dans les meilleurs délais, si possible dans les 72 heures, sauf si elle ne présente pas de risque pour les personnes.

Le cas particulier des cabinets de santé

Dans un cabinet, la boîte mail de l'accueil reçoit des résultats, des courriers de confrères et des demandes de patients. Un mot de passe volé donne accès à tout cela. Les deux premières lignes du tableau sont donc à traiter le jour même, et la question de l'APD se pose presque toujours : mieux vaut en parler tout de suite avec votre prestataire.

Garder les choses en proportion

Le quishing reste une variante de l'hameçonnage classique, pas une menace d'un genre nouveau. Les mêmes réflexes protègent : se méfier de l'urgence, vérifier l'adresse, ne jamais donner son mot de passe à une page arrivée par surprise. La seule nouveauté à retenir : le lien peut désormais se cacher dans une image, et le filtre ne vous en protège pas toujours.

Mieux protéger vos mails→