La crise du COVID-19 a remis les QR codes sous les projecteurs. En revanche, ils ne passent que rarement sous le radar des équipes IT et de sécurité…

QR codes, menace sous-estimée et néanmoins croissante pour la cybersécurité selon Ivanti. On les oublie, on les néglige. Et pourtant ! Les QR codes basés sur les consommateurs posent de nombreuses menaces pour la sécurité des systèmes et des données de l’entreprise.

La crise sanitaire les a remis au goût du jour. 83 % des répondants au sondage d’Ivanti ont déclaré avoir utilisé des QR codes pour la première fois, pour effectuer des paiements et des transactions financières, juste au cours de la dernière année.

Pour Ivanti, la prolifération de l’utilisation de ces codes a créé une nouvelle avenue d’opportunités pour les pirates. Ils les utilisent pour infiltrer les appareils mobiles ou voler des données d’entreprise. Le phénomène est plus important qu’on ne l’imagine. Combien d’employés n’utilisent-ils pas leur smartphone pour scanner des QR codes dans la vie de tous les jours ? S’ils ne sont pas suffisamment protégés, cette pratique peut compromettre non seulement leur sécurité, mais aussi celle de l’entreprise. Au cours des six derniers mois, 40 % des répondants ont scanné un QR code dans un restaurant, un bar ou un café; 22 % chez un commerçant et 15 % sur un produit de consommation. 60% prévoient même d’utiliser un QR code comme moyen de paiement dans un avenir proche.

Un assaut d’attaques via les QR codes…

Une aubaine pour les hackers, lesquels ciblent de plus en plus les appareils mobiles. Les appareils mobiles sont, en effet, des cibles attrayantes, car leur interface amène les utilisateurs à prendre des mesures immédiates, tout en limitant la quantité d’informations disponibles. De plus, lorsqu’ils sont sur leur appareil mobile, les utilisateurs sont souvent distraits; ils peuvent donc plus facilement être victimes d’attaques. 

A entendre Ivanti, nous allons prochainement assister à un assaut d’attaques via les QR codes. Un hacker pourrait facilement incorporer une URL malveillante dans un QR code, l’URL en question contenant elle-même un logiciel malveillant personnalisé. Le pirate pourrait alors siphonner les données de l’appareil mobile dès le QR code scanné. Autre stratégie envisageable, un cyber attaquant pourrait incorporer dans un QR code une URL malveillante, dirigeant l’utilisateur vers un site de phishing, qui l’encouragerait à divulguer ses identifiants. Il lui suffirait ensuite d’utiliser ces informations pour infiltrer l’entreprise…

Risques de sécurité que les pirates peuvent générer dans les QR codes

– Ajout d’une liste de contacts sur le téléphone de l’utilisateur pouvant lancer le spear phishing et d’autres attaques.

– Un appel téléphonique déclenchant le numéro d’un fraudeur.

– Un SMS à un destinataire prédéterminé et probablement malveillant.

– Rédaction d’un e-mail pour une activité malveillante si l’e-mail professionnel de l’utilisateur se trouve sur l’appareil.

– Envoi d’un paiement permettant aux pirates de capturer des informations financières personnelles.

– Envoi d’informations de géolocalisation de l’utilisateur à une application ou à un site Web.

– Suivi des comptes de réseaux sociaux exposant les informations personnelles et les contacts de l’utilisateur.

– Ajout d’un réseau Wi-Fi compromis dans la liste des réseaux préférés de l’appareil et une information d’identification permettant à l’appareil de se connecter automatiquement à ce réseau.

Quel type de protection ?

Face à tant de risques, les utilisateurs se sentent perdus. Une situation d’autant plus problématique que 45 % des personnes interrogées ne peuvent pas faire la distinction entre un QR code légitime et un QR code malveillant, alors que 71 % font la distinction entre une URL légitime et une URL malveillante. Par ailleurs, si 34 % des répondants savent que les QR codes peuvent ouvrir une URL, ils sont moins conscients des autres actions possibles des QR codes…

Une solution d’UEM (Unified Endpoint Management) peut fournir les contrôles informatiques nécessaires, estime Ivanti. En effet, les utilisateurs s’attendent aujourd’hui à pouvoir travailler à distance, en utilisant l’appareil de leur choix. Une telle solution peut sécuriser, gérer et surveiller chaque appareil, utilisateur, application et chaque réseau utilisé pour l’accès aux données de l’entreprise, tout en optimisant la productivité. Les entreprises peuvent également s’appuyer sur une solution UEM associée à une technologie de défense contre les menaces mobiles. Elles pourront ainsi détecter les menaces mobiles -dont les QR codes malveillants et y remédier, même lorsqu’un appareil mobile est hors ligne.