Le QR code s’est indéniablement positionné comme l’outil du futur, et ce, surtout depuis que la crise sanitaire l’a démocratisé auprès de tous. Seulement, les utilisateurs n’ont pas conscience que leur utilisation peut parfois représenter une réelle menace. Comment et à quoi faire attention lorsque l’on utilise ces raccourcis mobiles ?
Le QR code, qu’est-ce que c’est ?
Le QR code (code Quick Response ou réponse rapide) est un code-barres en deux dimensions. L’utilisateur qui scanne un QR code doit pouvoir avoir un accès instantané aux informations, d’où son appellation. Les QR codes classiques sont constitués de motifs de forme carrée noirs sur un fond blanc. Sa différence et son avantage par rapport aux codes-barres verticaux classiques est qu’il permet une lecture bidimensionnelle : de haut en bas et de droite à gauche. C’est pourquoi il est capable de stocker un nombre important de données et qu’il présente une infinité de possibilités. Cette double lecture est donc à l’origine de la lecture rapide du QR code, puisque tous les angles d’approche fonctionnent. Inventé en 1994 par l’entreprise Denso Wave, une filiale japonaise de Toyota, le QR code est un système qui a été créé pour suivre avec précision les pièces de voitures tout au long de leur fabrication. Denso Wave a laissé son invention dans le domaine public, sans exercer de droits de brevet. Tout le monde était alors en capacité d’en fabriquer, mais tout le monde n’était pas en capacité de les lire. Les premiers téléphones avec lecteurs de codes intégrés ont été commercialisés au Japon en 2002. Cependant, le QR code s’est principalement répandu à travers le monde en 2012, après avoir remporté un prix Good Design Award, récompense en matière de design industriel.
Le QR code, omniprésent dans la vie quotidienne
Toujours utilisé dans l’industrie manufacturière, le QR code devient également prédominant sur les :
- affiches ;
- flyers ;
- cartes de visite ;
- magazines ;
- tables de restauration.
Il permet d’accéder en toute simplicité à une page web ou à tout autre contenu optimisé pour les mobiles et tablettes : carte de restaurant, programme, plan, contenu audio ou vidéo, jeu-concours, achat sur mobile ou même réalité augmentée. 80% des utilisateurs détiennent un smartphone et la très grande majorité peuvent lire les QR codes en natif, c’est-à-dire directement depuis l’appareil photo de leur téléphone. Les QR codes sont aussi bien utilisés dans le monde professionnel que pour des campagnes de vente et de marketing, ou pour l’amélioration de services. Voici quelques exemples de leur utilité au quotidien :
- Suivre des colis, authentifier des pièces… tout ce qui relève de la logistique ;
- Renvoyer vers le téléchargement d’une application ;
- Vérifier des détails de connexion ;
- Se connecter à des réseaux Wi-Fi ;
- Envoyer des paiements ;
- Rediriger vers un article en ligne ;
- Renseigner des informations sur un produit.
Quels sont les risques de cyberattaques associés aux QR codes ?
Étant donné que le QR code est relativement nouveau dans le quotidien de tous et qu’il est rapidement devenu omniprésent, les utilisateurs n’ont pas encore pleinement conscience des risques associés aux QR codes. Quels risques encourons-nous ? Par exemple, les hackers peuvent associer un QR code à un lien URL malveillant qui redirige vers un site de phishing, qui propage un malware, qui provoque le téléchargement de fichiers malveillants ou qui leur permet de collecter des données personnelles. Bien qu’il soit plus compliqué de modifier la matrice d’un code créé pour le rediriger vers une action malveillante, il est très facile de générer des QR codes grâce à des outils gratuits accessibles à tous. L’objectif de ces cyberattaques peut être multiple :
- lancer des campagnes de phishing ;
- recueillir les données personnelles de l’utilisateur ;
- rédiger des emails à l’insu de l’utilisateur ;
- effectuer un paiement ;
- suivre la géolocalisation de l’utilisateur ;
- forcer des messages texte ou des appels téléphoniques vers des services payants.
En effet, rares sont les utilisateurs qui savent que scanner un QR code peut déclencher d’autres actions que d’ouvrir une URL. Le scan d’un QR code peut écrire un courriel, lancer un appel téléphonique ou écrire un SMS ! La menace est toute particulière dans le monde du travail, car les collaborateurs sont victimes d’hameçonnage sur leur temps de travail. Cela arrive quand un même téléphone est utilisé à la fois pour une activité professionnelle et une utilisation personnelle. Il est essentiel pour une entreprise de se protéger correctement contre les potentielles cyberattaques afin de sauvegarder son activité.
Comment se protéger d’un risque de cyberattaque via QR code ?
Tout d’abord les utilisateurs ont besoin d’être sensibilisés afin de prendre conscience des risques et d’être plus précautionneux lors de l’utilisation de QR codes. Un QR code malveillant est plus difficile à reconnaître qu’une URL malveillante. Pour cause, les QR codes ne contiennent pas de mots. Une solution serait donc de prêter attention à l’URL vers laquelle le QR code propose de rediriger l’utilisateur. Si l’URL semble différente du site vers lequel elle est censée rediriger, il faut refuser la redirection. Recourir à une solution de défense afin d’éviter le téléchargement d’applications malveillantes ou autres cyberattaques. Par exemple, comme pour les ordinateurs, les mobiles peuvent être équipés d’un antivirus, ce qui rendra plus difficile le téléchargement de fichiers pirates. Les entreprises quant à elles peuvent passer à une authentification multi-facteurs sans mot de passe. Le vol de mot de passe devient donc impossible. Il existe aussi des applications qui ont pour rôle de scanner les QR codes afin d’identifier pour l’utilisateur si le QR code est de confiance.
Le QR code, comment ça marche ?
Pour mieux appréhender ses dangers, il faut comprendre le fonctionnement du QR code. Les motifs des QR codes représentent en fait des motifs binaires interprétables pour délivrer les données stockées par le code. Un QR code est identifiable par les trois grands carrés situés sur l’extérieur. Le lecteur de QR codes sait alors que tout ce qui est contenu entre ces trois formes constitue le QR code. À chaque pixel de la grille est associé une valeur selon s’il est noir ou blanc. Il identifie ensuite les carrés formés dans la grille pour identifier des motifs plus grands. En réalité le QR code peut même être de plusieurs couleurs, du moment que subsiste un contraste entre les zones claires et foncées. La première étape pour éviter la prise de contrôle d’appareils et se protéger contre les différentes menaces liées à l’utilisation de QR codes est donc la sensibilisation des utilisateurs. En prêtant attention, les cyberattaques sont déjouables, et vos données personnelles ainsi que celles de votre entreprise sont sauvegardées.
