Pour éviter les systèmes de sécurité, les campagnes de phishing se mettent au QR code

Les spécialistes du phishing pourraient avoir trouvé une parade face à l’amélioration des systèmes de filtrage des courriers électroniques. Depuis trois mois, les chercheurs en cybersécurité de la société Cofense ont constaté une première attaque d’envergure utilisant des QR codes pour tromper des employés de grandes entreprises.

Les QR codes présentent un avantage majeur pour les campagnes de phishing (hameçonnage en français) : leur utilisation frauduleuse ne peut pas être détectée par les filtres de sécurité, qui bloquent seulement les messages contenant des liens suspicieux. Les e-mails envoyés terminent ainsi dans la boîte de réception, et non dans les courriers indésirables.

Identifiants Microsoft 365

Mais les QR codes présentent également un inconvénient de taille : les applications mobiles qui permettent de les scanner affichent généralement le lien vers lequel ils redirigent les internautes. Et leur demandent de cliquer dessus. Ces étapes peuvent leur permettre de détecter plus facilement une redirection suspecte.

L’attaque constatée par Cofense visait de grandes entreprises, et notamment une grande compagnie pétrolière américaine. Plus d’un millier d’e-mails ont été envoyés, demandant aux employés d’effectuer une démarche de sécurité liée à leur compte Microsoft 365, la suite bureautique en ligne de l’éditeur de Windows.

En réalité, les employés imprudents étaient renvoyés vers une fausse page de connexion, qui permettait aux pirates informatiques de mettre la main sur leur identifiant et leur mot de passe. Pour rendre l’attaque plus efficace, la campagne utilisait des liens de redirection utilisant l’URL de Bing, le moteur de recherche de Microsoft. Ces liens sont normalement utilisés pour mesurer l’efficacité d’une campagne marketing.