Les passerelles de sécurité email sont devenues suffisamment sophistiquées pour qu'une URL de phishing en texte clair dans le corps d'un email ait de bonnes chances d'être détectée et bloquée avant d'atteindre la boîte de réception de l'utilisateur. Les attaquants qui veulent contourner cette couche de défense ont une solution de plus en plus documentée : remplacer l'URL cliquable par une image de QR code qui encode la même URL. Le QR code est une image, et les outils de sécurité email qui analysent les URLs n'extraient pas par défaut les URLs encodées dans les images. Le scan qui aurait détecté une URL de phishing en texte ou en hyperlien est contourné parce que l'URL malveillante n'apparaît jamais comme du texte dans l'email.
Le quishing, la combinaison de QR codes et de phishing, a été documenté à grande échelle à partir de 2023, et en 2026 il est devenu une technique standard dans la boîte à outils de phishing, avec des utilisations documentées par des acteurs motivés financièrement et des groupes étatiques. La persistance de cette technique reflète son efficacité : malgré une sensibilisation croissante des équipes de sécurité, la combinaison du contournement du scan email et du transfert de l'attaque vers l'appareil mobile (qui dispose généralement de moins d'outils de sécurité que le laptop professionnel) continue de produire des collectes de credentials réussies à grande échelle.
Quand un utilisateur reçoit un email contenant un QR code et le scanne avec son téléphone mobile, l'attaque se déplace du laptop professionnel (qui est géré, surveillé, et dispose d'un logiciel de sécurité endpoint) vers l'appareil mobile personnel (qui n'est souvent pas inscrit dans la gestion des appareils mobiles d'entreprise, n'a pas d'agent de sécurité d'entreprise, et se connecte à internet via une connexion données personnelle plutôt que le réseau d'entreprise). La passerelle de sécurité email, le proxy d'entreprise, l'outil de détection et réponse endpoint, aucun de ces outils n'est positionné pour observer ce qui se passe sur un téléphone personnel qui scanne un QR code et ouvre une URL dans le navigateur mobile.
Ce changement de contexte d'appareil est la raison fondamentale pour laquelle le quishing produit des résultats réussis même dans des organisations avec des stacks de sécurité email matures. L'attaquant ne contourne pas le stack de sécurité email ; il le contourne en le routant autour. Le payload est livré sur un appareil et via une connexion que le stack de sécurité ne couvre pas. Les fonctionnalités de sécurité du navigateur mobile, principalement Google Safe Browsing sur Chrome, fournissent une certaine protection contre les pages de phishing connues, mais les nouvelles pages de phishing qui n'ont pas encore été signalées par ces services sont accessibles.
Les campagnes de quishing documentées en 2024 et 2025 montrent une forte concentration sur quelques scénarios cibles. L'authentification Microsoft 365 est la cible la plus courante : le QR code dirige vers une page de phishing qui réplique le flux de connexion Microsoft, collecte les credentials et parfois les codes MFA, et les exfiltre vers le serveur de l'attaquant. L'email de leurre est généralement conçu pour ressembler à une notification de sécurité Microsoft, une invitation de partage de document, ou une exigence de ré-enregistrement de l'authentification multifacteur. L'urgence créée par ces leurres motive les utilisateurs à scanner le QR code immédiatement plutôt que de questionner sa légitimité.
L'usurpation de DocuSign et d'autres plateformes de signature électronique est une autre catégorie de leurre de quishing très documentée. Des emails prétendant être des demandes de signature de documents DocuSign contenant des QR codes au lieu des liens de documents normaux ont été utilisés dans des campagnes ciblant des employés du secteur juridique, financier, et immobilier. Le leurre est efficace parce que DocuSign envoie réellement des emails avec des liens vers des documents, et les utilisateurs dans ces secteurs reçoivent régulièrement des demandes DocuSign légitimes sur lesquelles ils sont censés agir rapidement.
Plusieurs approches de détection et d'atténuation s'attaquent au quishing à différents points de la chaîne d'attaque. Au niveau de la passerelle email, les produits de sécurité email avancés qui incluent l'analyse d'images et le décodage de QR codes peuvent extraire les URLs des images de QR codes dans les pièces jointes et les corps des emails, et appliquer les mêmes vérifications de réputation d'URL à ces URLs extraites qu'aux liens en texte clair. Cette capacité ferme le contournement principal qui rend le quishing efficace, mais nécessite que le produit de sécurité email supporte spécifiquement le scan de QR codes.
La formation des utilisateurs qui aborde spécifiquement le quishing est l'atténuation comportementale. Une formation qui explique que les QR codes dans les emails de n'importe quel expéditeur doivent être traités avec la même suspicion que les liens, que Microsoft et d'autres grandes plateformes ne demanderont pas aux utilisateurs de scanner des QR codes pour compléter une authentification, et que la façon légitime d'accéder à une plateforme est via des signets connus ou une saisie directe d'URL plutôt que via des QR codes, traite le composant d'ingénierie sociale qui rend le quishing efficace.
La surveillance dark web pour les kits de phishing ciblant votre marque et pour les campagnes coordonnées dans les forums criminels fournit le renseignement pré-campagne qui permet aux équipes de sécurité d'avertir les utilisateurs et de renforcer les contrôles avant que le premier email de quishing n'atteigne une boîte de réception. La surveillance des campagnes de phishing dans ces canaux est l'indicateur avancé qui complète les contrôles techniques. Comprendre votre exposition aux credentials capturés via des campagnes de quishing actives est également important : les logs d'infostealers et les bases de phishing contiennent des credentials capturés via ces techniques et circulent sur les marchés criminels dans les jours suivant une campagne réussie.
Au-delà des contrôles préventifs, les équipes de sécurité qui veulent détecter les campagnes de quishing après leur lancement disposent de plusieurs signaux dans les logs existants. Les logs Microsoft Entra ID (Azure AD) révèlent les authentifications réussies depuis des appareils non conformes ou non gérés : si un utilisateur s'authentifie à Microsoft 365 depuis un appareil mobile qui n'est pas inscrit dans la gestion des appareils mobiles d'entreprise, cet événement est visible dans les logs de connexion. Une authentification réussie depuis un appareil non géré qui a eu lieu peu après que l'utilisateur a reçu un email contenant un QR code est un signal corrélable.
Les logs de la passerelle email, même ceux qui n'ont pas détecté le QR code comme malveillant au moment de la livraison, contiennent les images du QR code attachées ou intégrées aux messages. Des outils d'analyse rétrospective qui décodent les QR codes dans les emails archivés peuvent identifier les campagnes de quishing qui ont contourné les filtres de sécurité initiaux et permettre une alerte rétrospective aux destinataires de ces emails.
La corrélation temporelle est également utile : si plusieurs utilisateurs d'une même organisation scannent des QR codes et s'authentifient depuis des appareils mobiles non gérés dans un court laps de temps, le pattern suggère une campagne de phishing active plutôt que des comportements individuels aléatoires. Des règles SIEM qui corrèlent les authentifications depuis appareils mobiles non gérés par cluster temporel et par organisation de l'expéditeur des emails précédents peuvent détecter ce pattern. La surveillance de l'exposition aux credentials capturés via des campagnes de quishing actives complète ces détections techniques internes.
Une variante particulièrement efficace du quishing utilise la chaîne d'approvisionnement comme canal de livraison. Plutôt que d'envoyer un email de quishing directement à l'organisation cible, l'attaquant compromet un fournisseur ou partenaire, puis envoie des emails de quishing depuis l'infrastructure email légitime du fournisseur vers ses clients. L'organisation destinataire évalue le domaine de l'expéditeur, constate qu'il est légitime, et délivre l'email dans la boîte de réception sans le flag de phishing qu'un domaine expéditeur inconnu pourrait déclencher.
Ce vecteur de quishing par chaîne d'approvisionnement est particulièrement difficile à détecter par la sécurité email seule, car la compromission de l'organisation expéditrice est un prérequis. Au moment où les emails de quishing du fournisseur atteignent votre boîte de réception, le fournisseur a déjà été compromis. L'attaque enchaîne deux événements : d'abord, une compromission du fournisseur, et ensuite, l'utilisation de cette infrastructure email compromise pour distribuer des quishings aux contacts du fournisseur.
La défense contre le quishing par chaîne d'approvisionnement nécessite des contrôles indépendants de la réputation de l'expéditeur. La formation des utilisateurs qui apprend aux employés à traiter les QR codes avec suspicion quel que soit l'expéditeur, la sécurité email qui décode et inspecte les images de QR codes quel que soit le score de réputation de l'expéditeur, et les politiques d'accès conditionnel qui exigent une authentification depuis un appareil conforme, toutes ces mesures traitent le vecteur de quishing par chaîne d'approvisionnement. La surveillance dark web qui détecte quand votre organisation est spécifiquement ciblée dans des kits de quishing sur les marchés criminels fournit le renseignement pré-campagne complémentaire.
Non. Bien que l'email soit le canal de livraison principal documenté dans les campagnes de quishing, les QR codes ont été utilisés comme leurres de phishing dans le courrier physique, les documents imprimés placés dans des espaces publics comme les halls d'accueil, et dans certains cas dans des publications sur les réseaux sociaux ou des applications de messagerie. Le quishing physique, où un QR code imprimé est placé dans un endroit fréquenté par les cibles, est particulièrement efficace dans des contextes à forte confiance : un QR code sur une affiche dans une salle d'accueil d'entreprise avec le branding de l'organisation a un signal de confiance fort que les QR codes livrés par email n'ont pas.
La formation qui aborde spécifiquement le quishing est efficace pour réduire les taux de scan quand elle est correctement conduite et actualisée. Les comportements clés à former sont de traiter les QR codes dans les emails avec la même suspicion que les URLs, de vérifier la destination de tout QR code avant d'agir, de reconnaître que les grandes plateformes ne demandent généralement pas d'authentification via des QR codes, et d'utiliser des signets connus ou une saisie d'URL directe pour accéder aux services plutôt que des QR codes. La formation anti-phishing générique qui ne mentionne pas spécifiquement les QR codes est moins efficace car les utilisateurs ne transfèrent pas naturellement leur scepticisme d'URL au comportement de scan de QR code sans formation explicite.
Si un utilisateur scanne un QR code et est dirigé vers une page qui demande des credentials ou semble suspecte, les étapes immédiates sont de fermer la page sans saisir d'information, de ne pas entrer de credentials sur une page atteinte via un QR code dont il n'est plus sûr, et de signaler la source à l'équipe de sécurité. Si des credentials ont déjà été saisis, l'utilisateur doit immédiatement notifier l'équipe de sécurité pour que les comptes affectés puissent être revus et les tokens de session révoqués.
L'architecture Zero Trust, qui repose sur le principe de "ne jamais faire confiance, toujours vérifier" pour chaque accès à chaque ressource quelle que soit la localisation du demandeur, fournit un cadre défensif qui limite l'impact des attaques de quishing même quand elles réussissent à capturer un token de session. Dans un environnement Zero Trust correctement mis en oeuvre, un token de session capturé via un proxy AiTM ne suffit pas à lui seul pour accéder à des ressources sensibles : les politiques d'accès conditionnel exigent que le contexte de la session, appareil, localisation, comportement, soit conforme aux politiques définies au moment de chaque accès aux ressources, pas seulement au moment de l'authentification initiale.
La Continuous Access Evaluation (CAE) implémentée par Microsoft dans Entra ID est un exemple concret de principe Zero Trust appliqué à la gestion des sessions. CAE permet aux applications qui supportent ce protocole d'être notifiées en temps quasi-réel quand une session doit être réévaluée ou invalidée, par exemple quand la localisation de la session change brusquement ou quand l'identité de l'utilisateur est signalée comme compromise. Un token capturé via un proxy AiTM et utilisé depuis une adresse IP différente de celle de la session légitime peut déclencher une réévaluation CAE et une invalidation du token avant que l'attaquant n'ait pu extraire des données significatives.
L'adoption de l'architecture Zero Trust n'est pas un projet ponctuel mais une transformation progressive qui nécessite une planification à long terme. Les organisations qui ne sont pas encore dans un modèle Zero Trust complet peuvent néanmoins appliquer les principes les plus impactants en priorité : l'authentification MFA résistante au phishing pour les comptes à haute valeur, les politiques d'accès conditionnel basées sur la conformité des appareils, et la restriction de l'accès aux ressources les plus sensibles aux appareils gérés depuis des réseaux approuvés. Ces contrôles ciblés réduisent l'impact des attaques de quishing réussies même sans une transformation Zero Trust complète.
Le quishing continuera d'évoluer en réponse aux défenses qui lui sont opposées. Les améliorations dans la capacité des produits de sécurité email à décoder et analyser les QR codes dans les pièces jointes et les corps des messages pousseront les opérateurs de campagnes de quishing vers des variantes qui contournent ce contrôle. Les techniques d'obfuscation du QR code, comme l'encodage du QR code dans des formats d'image moins standards, l'utilisation de mises en page de QR code non standard, ou l'intégration du QR code dans des documents PDF ou Office plutôt que directement dans le corps du message, sont les adaptations les plus probables à mesure que la détection de QR code dans les passerelles email se généralise.
L'intégration du quishing avec d'autres vecteurs d'attaque, notamment les attaques de chaîne d'approvisionnement et l'usurpation d'identité via deepfake, représente une évolution plus sophistiquée. Un QR code envoyé dans un email provenant d'un compte d'entreprise fournisseur compromis, accompagné d'un message vocal deepfake de l'interlocuteur habituel chez ce fournisseur, combine plusieurs vecteurs pour créer un leurre dont la crédibilité est très difficile à remettre en question. Ces attaques multi-vecteurs restent relativement rares pour l'instant en raison de leur coût opérationnel plus élevé, mais leur fréquence augmentera à mesure que les outils d'IA qui les rendent possibles deviennent plus accessibles et moins coûteux.
La formation des utilisateurs devra s'adapter à ces évolutions. Une formation qui apprend aux utilisateurs à vérifier les QR codes dans les emails sera toujours pertinente, mais elle devra aussi aborder les QR codes dans d'autres contextes (documents, médias physiques), les techniques de vérification de l'identité dans les communications multi-canal, et la scepticisme approprié vis-à-vis des demandes urgentes quelle que soit leur source apparente. La résistance comportementale au quishing est une compétence qui doit être cultivée et maintenue à mesure que les techniques d'attaque évoluent, pas un entraînement ponctuel qui épuise sa valeur après quelques mois. La surveillance des nouvelles techniques de phishing dans les forums criminels fournit l'intelligence sur les évolutions émergentes qui informe la mise à jour des programmes de formation.
La surveillance des canaux criminels pour les kits de quishing ciblant votre marque fournit le signal d'alerte précoce qui permet de préparer une réponse avant que la campagne ne soit lancée. Les kits de quishing, comme les kits de phishing traditionnels, sont développés, testés et vendus dans les marchés criminels avant d'être déployés dans des campagnes actives. Cette fenêtre entre le développement du kit et son déploiement est l'opportunité de renseignement qui distingue les organisations qui détectent les campagnes de quishing avant leur lancement de celles qui ne les découvrent qu'après avoir reçu les premiers signalements d'utilisateurs.
Les organisations qui ont déployé des politiques DMARC strictes ont parfois une fausse impression de sécurité concernant le phishing ciblant leur marque. DMARC empêche les attaquants d'envoyer des emails qui prétendent provenir du domaine de l'organisation, ce qui est précieux pour protéger la réputation de la marque dans l'email. Cependant, DMARC ne protège pas contre le quishing qui arrive dans les boîtes de réception depuis des domaines contrôlés par les attaquants, qui n'imitent pas le domaine de la victime dans l'en-tête From. Un email de quishing envoyé depuis un domaine nouvellement enregistré comme "notification-document-secure.com" passe les vérifications DMARC parce qu'il prétend provenir de ce domaine, pas du domaine de l'organisation ciblée. Cette distinction est importante pour comprendre pourquoi DMARC, bien que précieux, ne suffit pas à adresser le quishing et pourquoi des contrôles complémentaires sont nécessaires.
Les campagnes de quishing distribuent des leurres via des canaux que la sécurité email interne ne peut pas scanner. Les expositions de mauvaises configurations cloud apparaissent sur les outils de reconnaissance des attaquants en quelques heures. Ces deux catégories de menaces dépendent d'une visibilité externe : voir ce à quoi ressemble votre organisation depuis l'extérieur, y compris les assets et les chemins d'attaque que les outils internes n'ont pas de contexte pour voir.
Defendis surveille votre surface d'attaque externe en continu et la corrèle avec le renseignement dark web, afin que vous connaissiez les assets exposés avant les attaquants et l'infrastructure de phishing ciblant vos utilisateurs avant que le premier credential ne soit volé.
Réservez une démo pour voir la surveillance de la surface d'attaque externe et du renseignement sur les menaces en action.
