Des cybercriminels utilisent toujours des codes QR dans des campagnes d’hameçonnage pour inciter les employés à télécharger des logiciels malveillants ou à révéler leurs informations d’identification.
La dernière campagne ciblait une grande société énergétique américaine non identifiée, selon une étude publiée cette semaine par Cofense. Les autres principales industries qui ont reçu ces messages d’hameçonnage sont la fabrication, l’assurance, la technologie et les services financiers.
L’avantage d’utiliser un code QR que les gens sont invités à scanner avec leur téléphone intelligent pour obtenir un document, note le rapport, est qu’une URL malveillante peut être cachée dans le code et ne sera pas repérée par des employés suspicieux. De plus, le téléphone intelligent utilisé par la victime se trouve en dehors des défenses anti-malware
Image : Cofense
de l’organisation.
Le message électronique de cette campagne avertit les victimes visées qu’elles doivent mettre à jour leur sécurité Microsoft ou Salesforce en scannant le code QR joint avec leur téléphone intelligent. Ceux qui le font voient une page de connexion Microsoft ou Salesforce usurpée où la victime doit entrer ses informations d’identification.
Une stratégie supplémentaire du cybercriminel consiste à utiliser des redirections d’URL via le moteur de recherche Bing.
Cette campagne d’hameçonnage, qui a débuté en mai, est toujours en cours.
« Bien que les codes QR soient avantageux pour faire entrer des courriels malveillants dans la boîte de réception de l’utilisateur, ils peuvent ne pas être efficaces pour amener l’utilisateur à l’hameçonnage », note le rapport. « Cette lacune est due à la nature des codes QR car ils doivent être scannés par un appareil de capture d’image. Bien que des scanners en ligne existent et vous montrent où va le code QR, l’utilisateur est invité à scanner le code avec l’appareil photo de son appareil mobile. Cependant, les appareils mobiles modernes affichent également l’artefact intégré et demandent à l’utilisateur de vérifier l’URL avant de lancer un navigateur vers le lien, ce qui permet à l’utilisateur de voir où va le lien avant d’accepter. »
Bien que l’automatisation telle que les scanners QR et la reconnaissance d’image puisse être la première ligne de défense, ajoute le rapport, il n’est pas toujours garanti que le code QR sera récupéré, surtout s’il est intégré dans un fichier PNG ou PDF. Par conséquent, indique le rapport, il est également impératif que les employés soient formés pour ne pas scanner les codes QR dans les courriels qu’ils reçoivent.
Le rapport (en anglais) est disponible ici. L’inscription est obligatoire.
Adaptation et traduction française par Renaud Larue-Langlois.
