Quishing : le phishing par QR code qui cible votre PME.

Le quishing : le phishing par QR code

Un email de facture, un colis à réceptionner, un courrier qui ressemble à celui de votre banque. Dans chaque cas, un QR code à scanner « pour valider ». C'est le nouveau visage du phishing, baptisé quishing, et il progresse vite. Selon Microsoft Threat Intelligence, les attaques par QR code ont bondi de 146 % au premier trimestre 2026, sur un total de 8,3 milliards de menaces de phishing analysées. Pour un dirigeant de PME, la question n'est plus de savoir si cette arnaque touchera un jour votre entreprise, mais comment la repérer avant qu'un collaborateur ne scanne le mauvais code. Ce guide répond concrètement à cette question.

Qu'est-ce que le quishing ?

Le quishing (contraction de « QR code » et « phishing ») est une arnaque qui remplace le lien piégé d'un email ou d'un SMS par un QR code. Une fois scanné avec un smartphone, ce code redirige la victime vers un faux site conçu pour voler ses identifiants, ses codes de connexion ou ses coordonnées bancaires. Les autorités françaises et Cybermalveillance.gouv.fr le définissent officiellement comme du « filoutage par code à réponse rapide » ou hameçonnage par QR code.

Le principe reste celui de l'hameçonnage classique, déjà détaillé dans notre article sur l'ingénierie sociale. Seule la technique change : au lieu d'un lien texte, l'adresse frauduleuse est cachée dans une image. Impossible de la vérifier en survolant le lien avant de cliquer, comme on le ferait par réflexe dans un email.

Suis-je concerné ? Pourquoi cette arnaque cible aussi les PME

Oui, toute entreprise connectée à Internet est concernée, et les PME sont une cible privilégiée. Le quishing profite d'un angle mort organisationnel : personne ne sait vraiment qui doit valider un QR code ajouté à une facture, à une affiche en boutique ou à un email marketing. Ce flou suffit aux attaquants.

Trois raisons expliquent pourquoi les PME sont particulièrement exposées :

• Le scan déplace l'action vers un smartphone personnel, souvent hors du périmètre de sécurité géré par l'entreprise ;
• Les petites structures utilisent massivement Microsoft 365, dont les identifiants sont la cible numéro un des campagnes de quishing ;
• Les budgets de filtrage email avancé et de sensibilisation restent souvent limités par rapport à ceux des grands groupes.

Une fois les identifiants volés, les conséquences dépassent largement la boîte mail compromise : accès à des données clients, propagation vers des comptes fournisseurs, ou revente sur des marchés clandestins, comme le détaille notre article sur le vol d'identifiants par les infostealers.

Comment fonctionne une attaque de quishing, étape par étape

Le scénario varie selon le canal utilisé, mais la mécanique reste la même : créer une urgence, cacher l'URL frauduleuse dans une image, puis récupérer ce que la victime saisit sur la fausse page.

Par email ou pièce jointe PDF

Un collaborateur reçoit un email présenté comme une facture en attente, une notification de sécurité Microsoft ou un message vocal manqué. Le QR code est intégré directement dans le corps du message ou dans un PDF joint. Ces documents sont devenus de plus en plus soignés au fil des mois, avec une mise en page personnalisée intégrant parfois le nom du destinataire pour renforcer la crédibilité.

Par courrier postal

En France, plusieurs vagues récentes ont ciblé des particuliers et des professionnels par voie postale. Une arnaque à la fausse carte bancaire a notamment circulé : une enveloppe imitant un courrier de banque, une carte factice glissée à l'intérieur, et un QR code présenté comme indispensable pour « l'activer ». Le code renvoyait vers un faux espace client bancaire.

Par affichage physique piraté

Des QR codes frauduleux ont également été collés par-dessus des codes légitimes sur des bornes de recharge pour véhicules électriques dans le Loiret, redirigeant les usagers vers un faux site de paiement. Le même principe s'applique à une affiche en salle d'attente, un menu de restaurant ou une signalétique de parking.

Pourquoi le quishing déjoue vos défenses habituelles

Le quishing est efficace parce qu'il contourne deux couches de sécurité à la fois : le filtrage email et, dans certains cas, la double authentification. Voici pourquoi.

Les passerelles de sécurité email savent analyser des liens texte : réputation du domaine, sandboxing, réécriture d'URL. Un QR code est une image. Beaucoup de filtres ne le décodent pas, ou le font mal, laissant passer l'attaque jusqu'à la boîte de réception.

Le scan déplace ensuite l'action sur le smartphone du salarié, souvent un appareil personnel non protégé par les outils de l'entreprise. L'adresse du site frauduleux, tronquée sur un petit écran, devient encore plus difficile à repérer.

Le cas le plus préoccupant reste le contournement du MFA classique via une attaque dite « adversary-in-the-middle » (AiTM). Un faux site se place entre l'utilisateur et le vrai service Microsoft 365 : la victime saisit son mot de passe, valide son code d'authentification multifacteur, et l'attaquant intercepte en temps réel le cookie de session déjà authentifié. Il obtient alors un accès complet à la messagerie, malgré le MFA activé. C'est pourquoi le choix du type de MFA compte autant que son activation, un point détaillé dans notre guide sur l'authentification multi-facteur.

Les signaux qui doivent vous alerter

Un QR code légitime et un QR code piégé se ressemblent visuellement à l'identique. C'est le contexte qui doit alerter, pas l'apparence du code lui-même.

Que faire dans l'heure si un salarié a scanné un QR code piégé

La priorité absolue est de couper l'accès avant que l'attaquant n'exploite les identifiants volés. Voici la marche à suivre, dans l'ordre :

1. Isoler l'appareil concerné du réseau de l'entreprise, en coupant le Wi-Fi ou les données mobiles ;
2. Ne rien saisir de plus sur la page ouverte et fermer immédiatement le navigateur ;
3. Changer sans délai le mot de passe du compte concerné, depuis un autre appareil sain ;
4. Alerter immédiatement le service informatique ou votre prestataire de sécurité managée afin qu'il révoque les sessions actives et les jetons d'authentification du compte via l'administration Microsoft 365 ;
5. Vérifier les connexions récentes et les règles de transfert de messagerie configurées dans la boîte mail ;
6. Signaler l'incident sur Cybermalveillance.gouv.fr et déposer plainte si des fonds ont été détournés.

Si des données personnelles de clients ou de salariés ont pu être exposées et qu'il existe un risque pour leurs droits et libertés, une notification à la CNIL doit être effectuée dans les 72 heures suivant la prise de connaissance de l'incident.

Comment protéger durablement votre PME

La sensibilisation seule ne suffit plus : un salarié pressé reste vulnérable, même formé. La protection doit combiner technique, procédures et culture d'entreprise.

Sécuriser la messagerie en amont

Assurez-vous que votre solution email est capable de décoder les QR codes contenus dans les images et les pièces jointes PDF, puis de vérifier l'URL qu'ils contiennent, au même titre qu'un lien texte classique. C'est un point souvent absent des messageries « incluses » sans politique de sécurité renforcée, un sujet couvert par notre offre de sécurité messagerie.

Renforcer l'authentification

Pour parer aux attaques AiTM, privilégiez un MFA résistant au phishing de type Passkey ou clé de sécurité physique (FIDO2) sur les comptes critiques. En complément, activez la vérification par correspondance de code (« number matching ») sur les applications d'authentification pour stopper la lassitude des notifications, et appliquez des règles d'accès conditionnel fondées sur l'approche Zero Trust.

Former les équipes sans jargon

Intégrez le quishing dans vos campagnes de sensibilisation à la cybersécurité, avec un message simple : un QR code inattendu se vérifie avant de se scanner. Complétez avec des simulations de phishing incluant des scénarios par QR code, pour mesurer les réflexes réels de vos équipes plutôt que de simples intentions.

Encadrer l'usage des QR codes en interne

Désignez un responsable de la validation des QR codes ajoutés aux communications officielles de l'entreprise, qu'il s'agisse d'une facture, d'une affiche ou d'un email marketing. Cette simple règle organisationnelle referme l'angle mort exploité par les attaquants.

Résumé : ce qu'il faut retenir

• Le quishing cache un lien frauduleux dans un QR code, contournant la vigilance habituelle face aux liens texte ;
• Les attaques ont progressé de 146 % au premier trimestre 2026 selon Microsoft, tous secteurs confondus ;
• Le scan bascule l'action sur un smartphone, souvent personnel et hors du périmètre de sécurité de l'entreprise ;
• Certaines campagnes contournent le MFA classique via une attaque de type adversary-in-the-middle (AiTM) ;
• La meilleure défense combine filtrage email capable de décoder les QR codes, MFA FIDO2 / Passkeys et sensibilisation régulière.

Conclusion : agir avant l'incident

Le quishing illustre une règle simple en cybersécurité : chaque nouveau canal de communication devient, tôt ou tard, un nouveau vecteur d'attaque. Attendre qu'un collaborateur soit piégé pour réagir coûte toujours plus cher qu'anticiper. Les experts de Core Security, basés à Paris, accompagnent les TPE, PME et ETI françaises dans le renforcement de la sécurité de leur messagerie, de leur authentification et de la sensibilisation de leurs équipes face à ces nouvelles formes de phishing. Contactez nos experts pour évaluer l'exposition réelle de votre entreprise à ces attaques.