Phishing QR code (quishing) dans Microsoft 365 : pourquoi les filtres passent à côté

Le quishing, c'est du phishing dont le lien piégé n'est plus un texte cliquable mais un QR code. Le message a l'air banal : une image, une phrase courte, une instruction simple. « Scannez pour vérifier votre compte », « scannez pour conserver votre mot de passe ». Le destinataire sort son téléphone, scanne, et atterrit sur une page de collecte d'identifiants que le filtre de messagerie n'a jamais eu l'occasion d'examiner.

L'attaque contourne les deux garde-fous qui protègent une boîte Microsoft 365 : l'analyse des liens et le poste de travail maîtrisé. Comprendre ces deux points suffit à savoir où placer la défense.

Pourquoi un QR code passe à travers les filtres #

La plupart des solutions de sécurité de la messagerie lisent du texte. Elles inspectent le corps du message, les en-têtes et les URL qui y sont écrites, les comparent à des bases de réputation, puis bloquent ce qui est mauvais. Un QR code met ce modèle en échec de deux façons.

• Le lien est enfermé dans une image. Il n'y a aucune URL à lire dans le texte. La destination

est encodée dans un dessin que beaucoup de filtres ne décodent pas. Pour un moteur qui ne voit que des caractères, le message ne contient rien de suspect.

• Le clic se déplace sur un téléphone. Quand la victime scanne avec son mobile personnel, le

lien s'ouvre en dehors de vos protections Microsoft 365 : pas de Liens fiables (Safe Links), pas de navigateur géré, souvent aucun contrôle sur le terminal. Le moment le plus risqué se joue sur l'appareil le moins protégé.

Le filtrage des liens texte est devenu efficace, alors les attaquants ont déplacé la charge là où le filtre ne regarde pas.

L'autocollant du parcmètre, transposé dans la boîte mail #

Vos collaborateurs connaissent déjà le principe, même s'ils ne mettent pas de nom dessus. Les autocollants frauduleux collés par-dessus le QR code légitime d'un horodateur de stationnement ou d'un terminal de paiement ont fait le tour des médias et de plusieurs communes. Le support inspire confiance, le code non. Personne ne lit une matrice de points à l'œil nu, donc personne ne vérifie.

C'est le bon point de départ pour une sensibilisation interne : le quishing n'est pas un nouveau sujet technique, c'est l'autocollant du parcmètre transposé dans la messagerie. Rien n'oblige d'ailleurs l'attaquant à passer par l'email : un code collé sur une borne d'accueil ou sur une facture papier produit le même effet.

Les appâts qui fonctionnent en France #

Le quishing s'appuie sur les ressorts classiques de l'hameçonnage : l'autorité, l'urgence et une action qui semble routinière. Les scénarios les plus fréquents :

• La fausse mise à jour de la messagerie, ou une « ré-inscription » à l'authentification

multifacteur qui expirerait aujourd'hui même.

• La fausse amende ou le faux avis, imitant l'ANTAI. Les avis officiels comportent réellement

un QR code, ce qui rend la copie crédible.

• La fausse notification de livraison, colis en attente ou frais de douane, adressée à

l'accueil ou aux services généraux.

• La facture ou le document à signer, avec un QR code à la place du bouton habituel, envoyé à

la comptabilité en fin de mois.

Si un message vous demande de scanner un code avec votre téléphone pour vous connecter ou valider quelque chose, considérez-le comme frauduleux jusqu'à preuve du contraire, quelle que soit l'apparence de l'expéditeur.

Comment se défendre #

Aucun contrôle ne rattrape tout à lui seul. Ce qui marche, c'est l'empilement de quelques couches simples.

1. Décoder le code, pas seulement le texte. Une protection qui lit l'image, en extrait la

destination et évalue sa réputation signale le message qu'un filtre textuel laisse passer.

1. Avertir la personne dans le message. Un bandeau du type « cet email contient un QR code

menant vers un site inconnu » transforme un risque invisible en décision. C'est déterminant pour les profils non techniques, qui sont justement la cible.

1. Rendre le signalement immédiat. La bonne voie est un bouton qui atteint la personne capable

d'agir, pas un transfert d'email qui se perd.

1. Poser la règle une fois pour toutes. On s'authentifie et on valide en ouvrant soi-même

l'application ou le site officiel, jamais depuis un code scanné.

Le quishing arrive rarement seul : il accompagne souvent une usurpation d'expéditeur ou une tentative de détournement de paiement. Voir notre guide pour repérer une usurpation d'email et une fraude au président et notre analyse de la fraude au faux RIB.

Une base de départ #

• Une sécurité de messagerie qui décode les QR codes, pas seulement les liens texte
• Un bandeau visible sur les messages porteurs d'un QR code
• Un bouton de signalement en un clic et une voie d'escalade connue
• La règle affichée : on se connecte en allant soi-même dans l'application

Comment Olyteck aborde le sujet #

Olyteck Guard se branche sur Microsoft 365 et ajoute un bandeau d'avertissement en langage clair sur les messages entrants douteux. Le moteur note l'usurpation d'expéditeur, l'imitation d'identité et les tentatives de fraude au virement, ainsi que les liens, les QR codes et les pièces jointes malveillants. Nous stockons les signaux, jamais le contenu de vos messages. Aucune IA tierce n'est utilisée et la plateforme est hébergée en Union européenne, sous droit français.

Les attaquants ont déplacé le lien dans une image parce que l'image était l'angle mort. Comblez cet angle mort, rendez l'alerte visible, et le quishing redevient un message signalé de plus, que vos équipes savent déjà ignorer.

FAQ #

Comment savoir si un QR code est dangereux ? #

Un QR code ne se lit pas à l'œil nu, il n'existe donc aucun moyen visuel fiable de le juger. Sur un support physique, vérifiez qu'il ne s'agit pas d'un autocollant posé par-dessus le code d'origine. Dans un email, la prudence porte sur le contexte : une demande de connexion, de paiement ou de validation par scan est anormale. La plupart des téléphones affichent l'adresse avant d'ouvrir la page, prenez le temps de la lire et renoncez si le domaine ne correspond pas à l'organisation annoncée.

Que faire si j'ai scanné un QR code frauduleux ? #

Scanner seul ne compromet généralement rien, le risque commence si vous avez saisi des identifiants ou des coordonnées bancaires sur la page ouverte. Dans ce cas, changez immédiatement le mot de passe concerné depuis un autre appareil, révoquez les sessions actives et prévenez votre service informatique. Si des données de carte ont été saisies, faites opposition auprès de votre banque. Signalez ensuite le message, car vos collègues l'ont sans doute reçu aussi.

Microsoft 365 détecte-t-il les QR codes malveillants ? #

Les protections natives ont progressé, mais la couverture dépend de votre niveau de licence et reste inégale selon la construction du message. Les fonctions comme les Liens fiables ont été conçues pour des URL présentes dans le texte, et un lien encodé dans une image ne suit pas ce chemin d'analyse. Surtout, aucune protection côté tenant ne s'applique une fois la victime passée sur son téléphone personnel. Partez du principe qu'une partie de ces messages arrivera quand même en boîte de réception.