Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Pensez avant de scanner : comment résoudre le problème lié à la sécurité des QR Code ?

février 2021 par Anna Chung, chercheuse principale en cybermenaces pour l’Unit42, unité de recherches sur les menaces de Palo Alto Networks

Alors que la technologie des QR code s’est répandue avec la pandémie, voici quelques conseils pour scanner en toute sécurité.

Les QR Code sont utilisés pour réduire les points de contacts et faciliter le traçage durant cette pandémie, facilitant le partage de données sans contact. Ils ne sont pas par eux-mêmes dangereux, mais ils peuvent être exploités par des cyber-attaquants.

Les codes à réponse rapide (ou Quick Response en anglais), dit également QR codes, peuvent être vus comme des équivalents des services raccourcissant les URLs : ils fournissent un accès direct à des informations comme un site web ou des informations de contact. Ils peuvent également permettre l’accès à un réseau Wifi sans mot de passe. Nous les voyons de plus en plus utilisés dans tous les domaines de notre vie, mais pensons-nous avant de scanner ?

La technologie QR Code est sûre en elle-même, mais plus on s’appuie sur elle, plus les cybercriminels s’y intéressent. Ces codes pourraient servir de points d’entrée à des attaques potentielles, car ils n’offrent pas de visibilité sur la page web, l’application ou autre qui se trouvent derrière eux. A la place, ils redirigent automatiquement l’utilisateur vers des pages web, des liens de téléchargement d’applications, servent à faire des paiements et de multiples autres usages qui fournissent aux cybercriminels les occasions parfaites pour s’infiltrer dans le processus. Durant la pandémie, l’Unit42, l’équipe de recherches et d’analyses des menaces de Palo Alto Networks, a constaté que les criminels dans les forums clandestins parlaient de la façon de détourner les QR codes en ciblant le consommateur final. Nous avons également trouvé des outils open source et des tutoriels vidéo d’entraînement pour mener des attaques en utilisant des QR codes.

En 2018, Juniper Research avait prédit un quadruplement de l’utilisation des QR code d’ici 2022. A l’heure où la lecture des QR code est intégré dans la plupart des objectifs des appareils mobiles, la pandémie a créé un nouveau pic dans l’usage de cette technologie et nous rappelle que nous devons faire attention à ce que nous scannons.

Comment les cybercriminels peuvent utiliser les QR codes

Il y a plusieurs manières pour les cybercriminels de détourner les QR codes. L’une d’entre elles pourrait être de pirater le site d’une entreprise et d’y remplacer les QR codes par les leurs. Avec des codes d’apparence similaires, un code échangé serait particulièrement difficile à repérer. En le scannant, les utilisateurs pourraient être détournés vers une adresse de phishing où les criminels pourraient leurs demander leurs identifiants puis prendre contrôle de leurs comptes de messagerie ou de réseaux sociaux par exemple. Cela pourrait aussi les amener sur des magasins applicatifs tierces où ils pourraient sans le savoir télécharger une application vérolée contenant un virus, un spyware, un cheval de Troie ou tout autre type de malware conduisant à un vol de données, à une rupture de confidentialité (vol de données GPS ou de liste de contacts, appels ou messages interceptés), un chantage par ransomware ou parfois du cryptominage.

Une autre technique cybercriminelle est le pot de miel. Des criminels pourraient mettre en place un réseau Wifi non sécurisé en promettant un accès gratuit à quiconque scanne leur QR code. Une fois l’appareil connecté, les pirates peuvent consulter ou intercepter toutes les données échangées, et voler les identifiants personnels, les données professionnelles confidentielles, les identifiants de banque en ligne ou de carte bancaire. Avec le travail à distance qui va se prolonger, il est important que nous soyons tous alertés sur ces méthodes et que nous ne nous connections que sur des réseaux Wifi sécurisés.

QR code : pensez avant de scanner !

Comment nous protéger ? A l’œil nu, il est impossible de repérer un QR code qui a été détourné par des cybercriminels, mais il y a plusieurs précautions à prendre pour éviter d’en être victime.

Les entreprises et les administrateurs IT doivent régulièrement effectuer des tests d’intégrité sur leur site et leur application pour s’assurer que le code et le lien associé sont bien ceux prévus. Ils peuvent le faire en scannant régulièrement le code pour vérifier que le lien qu’il contient est correct. Ils doivent le faire aussi bien sur la version Web que la version mobile, comme les criminels peuvent se contenter de compromettre cette dernière pour réduire les risques d’être détectés.

Les employeurs devraient également fournir des formations à la sécurité à leurs personnels pour les sensibiliser aux risques aussi bien pour la société que pour eux-mêmes, mettre en place une authentification à multiples facteurs et identifier les emails de phishing ou les environnements virtuels non sécurisés. Comme de nombreux employés continueront de travailler hors de l’entreprise, cette formation à la sécurité informatique donnera aux télétravailleurs la connaissance nécessaire pour prendre les bonnes décisions, empêchant les criminels d’accéder aux réseaux d’entreprises ou personnels, aux appareils ou aux données.

Nous avons tous appris à « penser avant de cliquer » sur un lien suspect ou dans un email. Il est désormais temps d’adapter ce point de vue aux QR code : et de penser avant de scanner. Ne scannez pas un QR code si vous ne savez pas où il vous amènera, et prévisualisez le site et le nom de domaine pour être sûr d’atterrir au bon endroit. Il existe de multiples applications de QR Code permettant de prévisualiser les sites Web avant de les visiter. De nombreux navigateurs permettent également aux utilisateurs de désactiver les redirections automatiques pour permettre à chaque de vérifier l’URL et de décider s’ils peuvent avoir confiance ou non.

Assurez-vous de ne télécharger vos applications que de sources sûres comme l’App Store d’Apple ou Google Play Store. Et mettez régulièrement à jour tous vos appareils connectés.

En résumé, mes conseils sont :
1 – Pensez avant de scanner
2 – Vérifiez après avoir scanné
3 – Soyez attentifs !

Comme toute technologie dont l’usage progresse, il est probable que nous voyons une augmentation des tentatives cybercriminelles de détournement des QR codes dans les prochains mois. Il est donc vital d’être conscient des risques pour pouvoir prendre les précautions nécessaires. Les QR codes continueront à avoir un rôle important alors que nous commençons à nous remettre de la pandémie Covid-19, mais nous ne pouvons pas relâcher notre vigilance. Soyez attentifs avant, durant et après avoir scanné un QR code pour maximiser les chances de protéger vos appareils et vos données.




Voir les articles précédents

    

Voir les articles suivants