CYBERMOIS 2026
Phishing par QR code
Mesurez le risque lié aux QR codes dans les bureaux, parkings, restaurants, affiches internes ou supports événementiels.
- email, mobile, terrain et voix
- Multi-canal
- selon les comportements observés
- Reciblage
- pages et feedbacks contextualisés
- Pédagogie
email, mobile, terrain et voix
selon les comportements observés
pages et feedbacks contextualisés
Qu'est-ce que le phishing par QR code ?
De nouvelles campagnes d'hameçonnage par QR code ont vu le jour, permettant de collecter les informations des cibles ou de les contaminer avec un logiciel malveillant. Les attaquants profitent d'une habitude prise pendant la pandémie de COVID-19 : scanner un code sans se demander où il mène.
Le QR code déjoue les protections habituelles. Il ne contient pas de lien lisible, donc rien à survoler ni à vérifier avant de cliquer. Il est souvent scanné depuis un appareil personnel, hors du périmètre protégé de l'entreprise, et il arrive par un support physique auquel on accorde spontanément confiance : une affiche, un prospectus, un menu.
Pour vous aider à mener votre campagne, nous avons intégré à la plateforme BlueSecure un outil permettant de planifier des campagnes d'hameçonnage par QR code et d'en analyser les résultats.
Comment l'attaque se déroule
L'attaquant place des QR codes à des endroits stratégiques : l'entrée d'un bâtiment, un prospectus, une borne de paiement de parking, le menu d'un restaurant. La cible, habituée à scanner depuis la pandémie, le fait avec son appareil personnel et y renseigne ses informations professionnelles. L'attaquant peut alors lancer une série d'actions qui remettent en cause la sécurité du système d'information : collecte de données sensibles, ou contamination par un logiciel malveillant.
- Des codes placés là où on les attend
- Un scan depuis un appareil personnel, hors périmètre
- Des identifiants professionnels saisis en confiance
Des codes placés là où on les attendCe que la campagne permet de tester
Scénario
Tester les habitudes de scan et la capacité à vérifier la destination réelle.
Ciblage
Déployer des supports physiques pour Cybermonth, onboarding, événements ou sites sensibles.
Signalement
Associer chaque QR à une page pédagogique et à un suivi de campagne.
Analyse
Relier le canal terrain aux indicateurs Phishing 360 et au score de risque.
Déployer sans friction
- SupportAffiche, flyer, sticker ou support événementiel adapté au lieu.
- QR suiviLien de campagne, landing pédagogique et suivi par support.
- TerrainDéploiement dans les zones pertinentes avec cadrage sécurité.
- AnalyseLecture par site, population, période et type de message.
Questions fréquentes
- Peut-on combiner le QR code avec un autre canal ?
- Oui, et c'est le scénario le plus réaliste. Nous programmons un e-mail contenant un QR code unique par destinataire, ce qui permet une analyse précise et ciblée des résultats, là où une affiche ne donne qu'un chiffre global.
- Faut-il aussi placer des affiches dans les locaux ?
- C'est un excellent complément. Des affiches portant un QR code qui renvoie vers une page de connexion ou de sensibilisation, placées dans les espaces communs, responsabilisent les collaborateurs là où l'attaque se produirait réellement.
- Comment former après la campagne ?
- Nos modules de sensibilisation couvrent les nouvelles techniques de phishing sous forme de vidéos courtes suivies d'un quiz, ce qui permet de valider les compétences acquises. Les collaborateurs hameçonnés y sont dirigés automatiquement.
- La solution est-elle conforme au RGPD ?
- Nous appliquons une politique de protection des données personnelles suivant les principes du RGPD. Des analyses d'impact sont réalisées régulièrement afin de garantir un haut niveau de sécurité au quotidien. Notre DPO certifié AFNOR veille au maintien de la conformité, en particulier sur la minimisation des données et le respect des droits des personnes.
Construisons une campagne adaptée à vos risques réels
BlueSecure peut combiner ce canal avec les autres canaux de Phishing 360 selon votre exposition : email, SMS, QR code, clé USB, courrier physique, intrusion physique, vishing et deepfake vocal.