Pendant la crise sanitaire mondiale provoquée par le Covid-19, les mesures de distanciation sociale et de réduction des contacts ont entraîné une forte augmentation de l'utilisation des codes QR. Ces petits carrés composés de pixels noirs et blancs, pouvant être scannés par la caméra d'un smartphone, sont devenus incontournables pour accéder rapidement à des informations, menus de restaurants, bons de réduction et toutes sortes de contenus en ligne sans avoir à taper d'URL. Mais cette adoption massive et soudaine des QR codes n'est pas sans risques en matière de sécurité et de confidentialité. Loin des yeux, des escrocs se sont engouffrés dans la brèche pour développer de nouvelles formes d'arnaques et de piratages exploitant les codes QR.
Le piège des faux QR codes physiques
La première menace vient de l'impression ou de la création de faux QR codes physiques destinés à tromper les utilisateurs. Avec quelques connaissances en informatique, il est très simple de générer un code QR renvoyant non pas vers le site web légitime d'une entreprise ou une information anodine, mais une page malveillante. Les escrocs ont ainsi pu remplacer certains QR codes officiels par des leurs dans les lieux publics, les restaurants ou sur les publicités.
Lorsque les utilisateurs scannaient ces faux codes, ils étaient redirigés vers des sites de phishing conçus pour voler leurs données personnelles ou leur faire installer des malwares. D'autres codes QR malveillants renvoyaient vers des pages proposant d'acheter de soi-disant produits en réalité inexistants, ou promettant des gains mirifiques s'ils versaient des fonds.
Le cas des épidémies de la désinformation
Au-delà des arnaques visant à dérober directement des données sensibles ou de l'argent, les faux QR codes physiques ont aussi été un vecteur majeur de désinformation pendant la pandémie de Covid-19. De nombreux complotistes en ont généré pour rediriger vers des sites relayant des théories fallacieuses sur les origines du virus, les effets secondaires des vaccins ou décrédibilisant les autorités sanitaires.
Avec une grande facilité, ils ont pu imprimer ces codes QR mensongers et les apposer dans les lieux publics comme les transports, les centres commerciaux ou à proximité des établissements de santé. Les personnes les scannant de bonne foi se retrouvaient alors bombardées de fausses informations, soigneusement mises en forme pour avoir l'air crédibles.
Cette épidémie de désinformation par QR code a grandement compliqué la lutte contre la circulation des fake news autour du Covid-19, déjà importante sur les réseaux sociaux. Elle a semé le doute dans l'esprit de nombreux citoyens, inquiets face à une crise sanitaire exceptionnelle.
Les dangers des QR codes en ligne
Si les QR codes physiques malveillants ont causé d'importants dégâts, la menace s'est également propagée dans le monde numérique. Sur les réseaux sociaux comme Facebook, Twitter, Instagram, TikTok ou encore les messageries, de multiples QR codes frauduleux ont fleuri pendant la pandémie.
Partant du même principe que pour les codes piratés dans la vraie vie, des hackeurs et autres criminels les ont insérés au milieu de publications en apparence anodines. Lorsque les utilisateurs scannaient ces QR codes par curiosité ou dans l'espoir d'accéder à un contenu exclusif, ils se faisaient réellement pirater leur smartphone.
Les codes QR malveillants en ligne donnaient accès à diverses formes de logiciels malveillants extrêmement dangereux :
-
Des chevaux de Troie espions, capables de dérober tous les mots de passe, données bancaires, photos et SMS stockés dans le smartphone.
-
Des logiciels de rançongiciels, qui prenaient le contrôle du téléphone avant d'exiger une rançon pour le débloquer.
-
Des malwares mineurs, volant les identifiants de la session Facebook par exemple pour se faire passer pour la victime en ligne.
-
Des programmes publicitaires intrusifs inondant l'appareil de pop-ups jusqu'à le rendre inutilisable.
La grande majorité de ces attaques par QR codes en ligne ont visé les utilisateurs d'Android, système d'exploitation mobile de Google. La plate-forme étant plus ouverte qu'iOS d'Apple, il est plus facile pour des développeurs malveillants d'y faire transiter leurs logiciels pirates une fois l'obstacle du QR code franchi.
Le dark web, réservoir intarissable de codes QR malveillants
Bien que largement visibles sur les réseaux sociaux, les QR codes malveillants prolifèrent surtout sur le dark web, cette partie cachée et anonyme d'Internet. Dans ces recoins obscurs de la toile, prospèrent toutes sortes de forums spécialisés dans l'échange et la vente de programmes malveillants, données piratées et autres services illégaux.
Ces plateformes clandestines sont un véritable réservoir pour trouver une quantité phénoménale de codes QR malveillants à utiliser pour pirater des internautes ou commettre des arnaques en tout genre. Sur le dark web, les cybercriminels rivalisent d'ingéniosité pour créer de nouveaux vecteurs d'infection et les partager avec d'autres pirates.
De véritables catalogues de QR codes piratés y sont régulièrement mis en ligne, classés par type d'attaque, par système d'exploitation visé et par niveau de sophistication. Tout un écosystème criminel s'est développé autour de cette nouvelle forme de menace par QR code pour alimenter un vaste trafic souterrain.
Les QR codes sont une étape de plus dans la chaine d'infection
Pour les experts en cybersécurité, l'attaque par QR code malveillant n'est bien souvent qu'une simple étape dans une chaîne d'infection beaucoup plus complexe et ambitieuse. Une fois l'accès piraté au smartphone de la victime, de nombreuses autres portes peuvent s'ouvrir pour les cybercriminels.
L'appareil mobile étant connecté à d'autres systèmes comme l'ordinateur de la victime, son compte en ligne, son réseau domestique voire le réseau de son entreprise, il devient une véritable passerelle d'intrusion. Les hackeurs chevronnés le considèrent comme un point d'entrée idéal pour mener des attaques ciblées plus globales et dommageables.
Ainsi, après avoir pris le contrôle d'un smartphone via un QR code malveillant, de nombreux groupes de pirates vont installer des logiciels de minage clandestin pour exploiter la puissance de calcul de l'appareil. D'autres vont s'en servir pour rejoindre un vaste réseau de zombies (botnet) utilisé pour mener des attaques DDos contre des sites web.
Certaines équipes de hackers vont même prendre la main sur le smartphone d'une victime uniquement dans le but d'obtenir un tremplin supplémentaire pour pirater son ordinateur puis son entreprise. Ils peuvent ensuite lancer une campagne de rançongiciel paralysant, voler des données sensibles ou mettre en place une porte dérobée pour revenir ultérieurement.
Les codes QR uniques et éphémères, solution miracle ?
Face à la recrudescence continuelle des attaques par codes QR malveillants, de nombreuses entreprises et organisations se tournent vers de nouvelles solutions pour sécuriser leurs QR codes. Plutôt qu'un QR code statique qui reste le même indéfiniment, elles adoptent des codes uniques et éphémères qui ne sont valables que quelques minutes ou heures.
Le principe est que chaque utilisateur qui scanne le QR code est redirigé vers une URL personnalisée, accessible seulement temporairement, avec des garanties accrues de sécurité. De cette façon, les codes ne peuvent pas être répliqués et détournés pour une période longue.
Certaines applications et outils permettent aussi de chiffrer les URL véhiculées par les QR codes, ajoutant ainsi une couche supplémentaire de protection. D'autres technologies avancées intègrent même une étape de vérification pour s'assurer de l'identité du propriétaire du smartphone qui scanne le code.
Néanmoins, ces systèmes de sécurisation restent pour le moment coûteux et complexes à mettre en œuvre. Ils ne sont donc réservés qu'aux grandes entreprises ou institutions capables d'en assumer les frais. Pour beaucoup d'organisations de taille plus modeste, les codes QR resteront un point faible potentiel à ne pas négliger dans la sécurité informatique.
Une gestion des accès encore trop permissive
Du côté des éditeurs de systèmes d'exploitation mobiles, les mesures de sécurité prises face à la menace des QR codes malveillants restent encore bien trop timides selon de nombreux experts. Si Apple a renforcé le contrôle et le filtrage des redirections provoquées par les QR codes scannés sous iOS, d'importants progrès restent à faire.
De son côté, Google est régulièrement pointé du doigt pour les failles de permissions accordées aux applications Android lorsqu'elles accèdent à la caméra du smartphone. Les développeurs malveillants en profitent pour insérer du code malicieux qui se déclenche automatiquement lorsque l'utilisateur scanne un QR code, et ce, sans aucun contrôle de sécurité.
De manière générale, un effort de sensibilisation massive du grand public aux risques des QR codes semble encore indispensable. Beaucoup d'utilisateurs continuent de les scanner aveuglément, sans la moindre précaution, persuadés qu'ils sont inoffensifs par nature. Or, comme nous l'avons vu, les dommages potentiels sont loin d'être négligeables sur le plan financier, de la confidentialité et de la sécurité numérique.
Conseils pour ne pas tomber dans le piège
- Vérifiez l’URL du site : avant de scanner un QR code, vérifiez l’URL du site vers lequel il renvoie. Assurez-vous qu’il est sécurisé et que le nom de domaine est correct.
- N’envoyez pas de données personnelles : ne fournissez jamais vos coordonnées bancaires, votre numéro de téléphone ou vos informations personnelles à un site web que vous n’avez pas vérifié.
- Fermez la page et effacez l’historique : si vous avez scanné un QR code suspect, fermez immédiatement la page et effacez l’historique de votre navigateur.
- Vérifiez les QR codes : si un QR code est mal imprimé, avec des bords irréguliers, il est suspect. Assurez-vous qu’il n’y a pas d’autres QR codes collés par-dessus celui d’origine.
- N’oubliez pas : les QR codes ne sont pas plus sécurisés que les liens traditionnels. Il est donc important de toujours vérifier l’URL du site avant de scanner un QR code.
