Quishing : comment tester vos équipes face aux QR codes piégés

Le quishing, ou hameçonnage par QR code, cache un lien frauduleux dans une image : faux avis de contravention, QR codes collés sur des parcmètres, fausse demande de validation de connexion Microsoft 365. Voici comment il fonctionne, pourquoi il échappe aux filtres de messagerie et comment entraîner vos équipes à le repérer.

Qu'est-ce que le quishing ?

Le quishing est l'hameçonnage par QR code. Comme le rappelle Cybermalveillance.gouv.fr, un QR code, cette image codée comparable à un code-barres, peut contenir un lien vers un site ou le téléchargement d'une application. L'escroc s'en sert comme d'un lien caché : la victime scanne, arrive sur un faux site et y saisit ses identifiants ou ses coordonnées bancaires.

ABE Infoservice, le service d'information de la Banque de France, de l'ACPR et de l'AMF, le présente comme une variante du phishing : au lieu de cliquer sur un lien, la victime scanne un QR code avec son téléphone.

Les arnaques au QR code signalées en France

• Faux avis de contravention, reçus à domicile ou déposés sur les pare-brise. L'ANTAI rappelle que ses agents ne laissent jamais d'avis anonyme avec un QR code de paiement : ses QR codes officiels figurent sur les avis qu'elle envoie et n'ouvrent qu'amendes.gouv.fr ou stationnement.gouv.fr.
• Faux avis de passage de La Poste, glissés dans les boîtes aux lettres, qui invitent à scanner un code pour récupérer une lettre recommandée.
• Faux QR codes collés sur des parcmètres, des bornes de recharge pour véhicules électriques ou, selon ABE Infoservice, dans les parkings, les transports et les restaurants.
• Faux messages d'une banque ou d'une administration menaçant de bloquer un compte ou d'infliger une pénalité.
• Faux QR codes de validation de connexion Office 365, envoyés par e-mail : c'est le scénario qui vise directement les entreprises.

Cybermalveillance.gouv.fr juge le développement de ces pratiques « encore marginal » : un QR code reçu par e-mail oblige à sortir un second appareil, ce qui limite son taux de réussite, et la diffusion physique touche peu de victimes. La menace reste réelle, et les éditeurs de sécurité mesurent une forte présence des QR codes dans les e-mails malveillants.

Pourquoi le quishing échappe aux filtres

• Le lien est caché dans une image. La destination est encodée et non écrite en texte : de nombreux filtres de messagerie ne peuvent pas l'extraire pour l'analyser.
• Le QR code voyage souvent en pièce jointe, dans un PDF ou une image, ce qui augmente ses chances d'atteindre la boîte de réception.
• Le message contient peu de texte, donc peu d'indices comme des fautes ou des tournures suspectes.
• Le scan se fait sur un téléphone, souvent personnel, hors des protections du poste de travail.

Ces mécanismes sont décrits notamment par l'éditeur ESET, qui observe aussi des QR codes servant à voler des jetons de double authentification, glissés dans de fausses alertes invitant à sécuriser son compte.

Ce que disent les chiffres

Les éditeurs de sécurité publient des chiffres tirés de leurs propres clients. Ils ne sont pas comparables entre eux, mais montrent l'ampleur du phénomène dans la messagerie :

• selon ESET, des QR codes malveillants figuraient dans 11 % des e-mails de phishing détectés au premier semestre 2026 ;
• selon Barracuda, qui a analysé plus de 3,1 milliards d'e-mails en janvier 2026, 70 % des PDF malveillants contenaient un QR code menant à un site de phishing, de même que 56 % des documents Microsoft 365 malveillants.

Organiser une simulation de quishing

1. Choisir un prétexte crédible : réactivation de la double authentification, document à signer, colis en attente, nouvelle procédure RH. Les fausses alertes invitant à sécuriser son compte sont un prétexte courant.
2. Prévoir une page adaptée au téléphone, puisque le QR code sera scanné avec un mobile.
3. Mesurer ce qui compte : qui scanne, qui saisit ses identifiants, qui signale le message.
4. Expliquer tout de suite : la page qui suit le scan montre les indices manqués, sans culpabiliser.
5. Encadrer la campagne : informez les collaborateurs du dispositif, ne collectez que les données utiles et vérifiez si le CSE doit être consulté. Le scan se fait souvent sur un téléphone personnel : raison de plus pour limiter la collecte. Notre guide Simulation de phishing : RGPD, CSE et information détaille ces points.
6. Recommencer avec d'autres prétextes et d'autres canaux, comme l'e-mail classique et le SMS.

Les bons réflexes à enseigner

• Avant de scanner, se demander si le message ou l'affiche est vraisemblable ; au moindre doute, ne pas ouvrir le lien.
• Se méfier d'un QR code collé par-dessus un autre, sur un parcmètre ou une borne.
• Vérifier l'adresse du site qui s'ouvre après le scan avant de saisir quoi que ce soit.
• Ne jamais saisir ses identifiants professionnels après avoir scanné un QR code reçu par e-mail : une vraie demande du service informatique passe par ses canaux habituels.
• Payer amendes et stationnement uniquement sur amendes.gouv.fr, stationnement.gouv.fr ou l'application officielle de la ville.
• Signaler : au service informatique avec le bouton de signalement de la messagerie ; à Signal Spam pour les e-mails, au 33700 pour les SMS, à Phishing Initiative pour les sites frauduleux.

Le quishing dans les simulations LePhish

LePhish intègre des scénarios avec QR code à ses simulations de phishing par e-mail, aux côtés des liens, des pages d'authentification factices et des pièces jointes. Comme pour les autres scénarios, le collaborateur piégé voit tout de suite les indices qu'il a manqués, reçoit un rappel personnalisé le lendemain, puis un serious game une semaine plus tard, et les résultats remontent dans le tableau de bord.