# Phishing QR code (quishing) dans Microsoft 365 : pourquoi les filtres passent à côté

> Le phishing QR code cache le lien piégé dans une image et échappe aux filtres de messagerie. Voici comment marche le quishing et comment protéger vos équipes.

Source: https://olyteck.com/blog/fr/phishing-qr-code-quishing-microsoft-365
Published: 2026-06-24 | Updated: 2026-07-28
Author: Oleg Garasym, Olyteck (France, EU-hosted)
Product: Olyteck Guard
Topics: phishing qr code, quishing, arnaque qr code, sécurité de la messagerie, hameçonnage, microsoft 365, ingénierie sociale, pme
License: free to quote with attribution to Olyteck and a link to the source URL.

---

Le quishing, c'est du phishing dont le lien piégé n'est plus un texte cliquable mais un QR code. Le
message a l'air banal : une image, une phrase courte, une instruction simple. « Scannez pour
vérifier votre compte », « scannez pour conserver votre mot de passe ». Le destinataire sort son
téléphone, scanne, et atterrit sur une page de collecte d'identifiants que le filtre de messagerie
n'a jamais eu l'occasion d'examiner.

L'attaque contourne les deux garde-fous qui protègent une boîte Microsoft 365 : l'analyse des liens
et le poste de travail maîtrisé. Comprendre ces deux points suffit à savoir où placer la défense.

## Pourquoi un QR code passe à travers les filtres

La plupart des solutions de sécurité de la messagerie lisent du texte. Elles inspectent le corps du
message, les en-têtes et les URL qui y sont écrites, les comparent à des bases de réputation, puis
bloquent ce qui est mauvais. Un QR code met ce modèle en échec de deux façons.

- **Le lien est enfermé dans une image.** Il n'y a aucune URL à lire dans le texte. La destination
  est encodée dans un dessin que beaucoup de filtres ne décodent pas. Pour un moteur qui ne voit
  que des caractères, le message ne contient rien de suspect.
- **Le clic se déplace sur un téléphone.** Quand la victime scanne avec son mobile personnel, le
  lien s'ouvre en dehors de vos protections Microsoft 365 : pas de Liens fiables (Safe Links), pas
  de navigateur géré, souvent aucun contrôle sur le terminal. Le moment le plus risqué se joue sur
  l'appareil le moins protégé.

Le filtrage des liens texte est devenu efficace, alors les attaquants ont déplacé la charge là où
le filtre ne regarde pas.

## L'autocollant du parcmètre, transposé dans la boîte mail

Vos collaborateurs connaissent déjà le principe, même s'ils ne mettent pas de nom dessus. Les
autocollants frauduleux collés par-dessus le QR code légitime d'un horodateur de stationnement ou
d'un terminal de paiement ont fait le tour des médias et de plusieurs communes. Le support inspire
confiance, le code non. Personne ne lit une matrice de points à l'œil nu, donc personne ne vérifie.

C'est le bon point de départ pour une sensibilisation interne : le quishing n'est pas un nouveau
sujet technique, c'est l'autocollant du parcmètre transposé dans la messagerie. Rien n'oblige
d'ailleurs l'attaquant à passer par l'email : un code collé sur une borne d'accueil ou sur une
facture papier produit le même effet.

## Les appâts qui fonctionnent en France

Le quishing s'appuie sur les ressorts classiques de l'hameçonnage : l'autorité, l'urgence et une
action qui semble routinière. Les scénarios les plus fréquents :

- **La fausse mise à jour de la messagerie**, ou une « ré-inscription » à l'authentification
  multifacteur qui expirerait aujourd'hui même.
- **La fausse amende ou le faux avis**, imitant l'ANTAI. Les avis officiels comportent réellement
  un QR code, ce qui rend la copie crédible.
- **La fausse notification de livraison**, colis en attente ou frais de douane, adressée à
  l'accueil ou aux services généraux.
- **La facture ou le document à signer**, avec un QR code à la place du bouton habituel, envoyé à
  la comptabilité en fin de mois.

> Si un message vous demande de scanner un code avec votre téléphone pour vous connecter ou valider
> quelque chose, considérez-le comme frauduleux jusqu'à preuve du contraire, quelle que soit
> l'apparence de l'expéditeur.

## Comment se défendre

Aucun contrôle ne rattrape tout à lui seul. Ce qui marche, c'est l'empilement de quelques couches
simples.

1. **Décoder le code, pas seulement le texte.** Une protection qui lit l'image, en extrait la
   destination et évalue sa réputation signale le message qu'un filtre textuel laisse passer.
2. **Avertir la personne dans le message.** Un bandeau du type « cet email contient un QR code
   menant vers un site inconnu » transforme un risque invisible en décision. C'est déterminant pour
   les profils non techniques, qui sont justement la cible.
3. **Rendre le signalement immédiat.** La bonne voie est un bouton qui atteint la personne capable
   d'agir, pas un transfert d'email qui se perd.
4. **Poser la règle une fois pour toutes.** On s'authentifie et on valide en ouvrant soi-même
   l'application ou le site officiel, jamais depuis un code scanné.

Le quishing arrive rarement seul : il accompagne souvent une usurpation d'expéditeur ou une
tentative de détournement de paiement. Voir notre guide pour
[repérer une usurpation d'email et une fraude au président](/blog/fr/reperer-usurpation-email-fraude-president-microsoft-365)
et notre analyse de la [fraude au faux RIB](/blog/fr/facturation-electronique-2026-fraude-au-faux-rib).

## Une base de départ

- Une sécurité de messagerie qui décode les QR codes, pas seulement les liens texte
- Un bandeau visible sur les messages porteurs d'un QR code
- Un bouton de signalement en un clic et une voie d'escalade connue
- La règle affichée : on se connecte en allant soi-même dans l'application

## Comment Olyteck aborde le sujet

**Olyteck Guard** se branche sur Microsoft 365 et ajoute un bandeau d'avertissement en langage
clair sur les messages entrants douteux. Le moteur note l'usurpation d'expéditeur, l'imitation
d'identité et les tentatives de fraude au virement, ainsi que les liens, les QR codes et les pièces
jointes malveillants. Nous stockons les signaux, jamais le contenu de vos messages. Aucune IA
tierce n'est utilisée et la plateforme est hébergée en Union européenne, sous droit français.

Les attaquants ont déplacé le lien dans une image parce que l'image était l'angle mort. Comblez cet
angle mort, rendez l'alerte visible, et le quishing redevient un message signalé de plus, que vos
équipes savent déjà ignorer.

## FAQ

### Comment savoir si un QR code est dangereux ?

Un QR code ne se lit pas à l'œil nu, il n'existe donc aucun moyen visuel fiable de le juger. Sur un
support physique, vérifiez qu'il ne s'agit pas d'un autocollant posé par-dessus le code d'origine.
Dans un email, la prudence porte sur le contexte : une demande de connexion, de paiement ou de
validation par scan est anormale. La plupart des téléphones affichent l'adresse avant d'ouvrir la
page, prenez le temps de la lire et renoncez si le domaine ne correspond pas à l'organisation
annoncée.

### Que faire si j'ai scanné un QR code frauduleux ?

Scanner seul ne compromet généralement rien, le risque commence si vous avez saisi des identifiants
ou des coordonnées bancaires sur la page ouverte. Dans ce cas, changez immédiatement le mot de
passe concerné depuis un autre appareil, révoquez les sessions actives et prévenez votre service
informatique. Si des données de carte ont été saisies, faites opposition auprès de votre banque.
Signalez ensuite le message, car vos collègues l'ont sans doute reçu aussi.

### Microsoft 365 détecte-t-il les QR codes malveillants ?

Les protections natives ont progressé, mais la couverture dépend de votre niveau de licence et
reste inégale selon la construction du message. Les fonctions comme les Liens fiables ont été
conçues pour des URL présentes dans le texte, et un lien encodé dans une image ne suit pas ce
chemin d'analyse. Surtout, aucune protection côté tenant ne s'applique une fois la victime passée
sur son téléphone personnel. Partez du principe qu'une partie de ces messages arrivera quand même
en boîte de réception.