Un code QR ne peut pas échouer une vérification DMARC, et c'est exactement pour ça que les arnaqueurs l'adorent

La défense des e-mails n'est pas une seule machine. C'en est au moins deux, et elles répondent à des questions différentes. La première demande : qui était autorisé à envoyer du courrier en utilisant ce nom de domaine ? La deuxième demande : est-ce que le contenu du message est dangereux ? Un code QR passe la première par design, et s'il passe la deuxième dépend de quel produit lit votre courrier.

Commençons par la première machine, parce que c'est celle que les gens mal nomment. SPF vérifie si le serveur d'envoi est autorisé à envoyer pour un domaine. DKIM vérifie une signature cryptographique sur le message. DMARC exige que l'un de ces identifiants authentifiés s'aligne avec le domaine dans l'en-tête From: visible, et permet au propriétaire du domaine de publier une préférence pour ce qui devrait se passer en cas d'échec de cet alignement. La spécification actuelle, RFC 9989, est explicite : c'est une préférence et non un ordre : « The final handling of any message is always a matter of local policy and is left to the discretion of the Mail Receiver. »

Maintenant la partie qui importe pour les codes QR. La même spécification énumère ce qui est délibérément hors de portée, et sur cette liste, en deux mots, figure « content analysis ». DMARC n'a jamais été conçu pour lire les liens, et il n'a pas été dégradé par les images. Il n'a aucun avis sur le corps du message du tout. Il dit aussi clairement ce qu'une validation vaut : « a DMARC pass by itself does not guarantee that delivery to the recipient's inbox would be safe or desirable. » Donc un criminel qui enregistre un domaine jetable, configure correctement SPF et DKIM dessus et publie un enregistrement DMARC peut vous envoyer un message qui passe tous les contrôles d'authentification sans accroc. Rien n'a été contourné. L'enveloppe a vraiment été signée par la partie qui l'a signée. La question de savoir si le petit carré joint mène quelque part qui vole votre mot de passe n'a jamais été sur le formulaire de la couche d'authentification.

Cette question appartient à la deuxième machine, et c'est là que les certitudes s'effondrent. Un lien texte dans le corps d'un message est quelque chose qu'un filtre de contenu peut extraire, développer et comparer à des données de réputation. Une URL à l'intérieur d'une image QR doit d'abord être récupérée à partir de pixels, et cette capacité n'est pas universelle. Le National Cyber Security Centre du Royaume-Uni, dans un article de février 2024 de Dave Chismon, fixe la limite exactement : « Not all security tools designed to detect phishing emails will scan images. » Microsoft, en novembre 2024, a documenté l'autre côté — Defender for Office 365 « has improved its capabilities to extract URLs from QR codes », les extrayant par traitement d'image en début de flux de courrier et extrayant maintenant aussi les métadonnées QR et notant le motif environnant. Microsoft a aussi publié ce que cela a changé dans sa propre télémétrie : à son apogée, il était « blocking 3 million attempts daily », et après le déploiement du travail de détection, « we have seen this number shrink to 200,000 QR code phishing attempts every day ». Un vendeur, un produit, auto-signalé — mais vérifiable, ce qui est plus qu'on ne peut dire des pourcentages à l'échelle de l'industrie qui circulent sur ce sujet. Une version antérieure de cet article contenait l'un de ces pourcentages ; il a été supprimé parce que son origine n'a pas pu être établie.

L'alerte à la consommation de la FTC du 6 décembre 2023, écrite par le spécialiste de l'éducation des consommateurs Alvaro Puig, est l'endroit où la version de tous les jours du problème est exposée : des arnaqueurs recouvrant un vrai code de parcmètre avec leur propre autocollant, un message affirmant qu'un colis n'a pas pu être livré, un compte qui prétendument a besoin d'être réactivé. Son conseil tient en une phrase et ne vous demande pas d'évaluer un code particulier : « Don't scan a QR code in an email or text message you weren't expecting. » L'annonce de l'IC3 du FBI de janvier 2022 ajoute le signe physique — vérifier s'il y a « a sticker placed on top of the original code » — et le signe procédural : pour un message qui demande un paiement, « call the company to verify », en utilisant un numéro trouvé « through a trusted site rather than a number provided in the email », et « avoid making payments through a site navigated to from a QR code. Instead, manually enter a known and trusted URL. »

Et puis il y a l'appareil, qui est la vraie raison pour laquelle ça continue de fonctionner. Un code QR ne se scanne pas sur l'ordinateur portable où le navigateur géré, le filtre d'entreprise et le gestionnaire de mots de passe qui refuse de remplir automatiquement sur le mauvais domaine vivent tous. Il se scanne sur un téléphone, que le NCSC énumère parmi les raisons pour lesquelles les criminels favorisent la méthode : « Personal devices may not have the same security protections as a computer that's provided by your employer. » Sur un téléphone, la barre d'adresse est tronquée, l'URL complète est maladroite à inspecter, et la personne qui effectue la numérisation est généralement quelque part dehors, légèrement agacée, pas en train de lire attentivement.

Le résumé honnête est donc plus étroit que « les filtres sont aveugles ». L'authentification de domaine fonctionne et répond correctement à sa propre question. L'analyse de contenu des images QR existe, est déployée dans certains produits et pas dans d'autres, et s'est améliorée de manière mesurable dans au moins l'un d'eux en 2024. L'attaque survit parce qu'elle déplace le moment décisif sur un appareil qui se situe en dehors de la plupart de cette machinerie, et devant une personne à qui on a appris pendant des années à traiter un petit carré comme une commodité. Le carré ne ment pas au filtre. Il déplace la conversation vers vous.

Correction, 20 octobre 2026. Une version antérieure de cet article disait que tous les filtres à spam et toutes les vérifications d'en-tête étaient construits pour lire du texte et qu'un code QR est invisible pour tous. L'authentification de domaine n'examine pas le contenu par design — la spécification DMARC énumère « content analysis » comme hors de portée — mais le filtrage de contenu est une couche séparée, et Microsoft a documenté l'extraction d'URL QR dans Defender for Office 365 en novembre 2024, tandis que le libellé du NCSC est que tous les outils ne scannent pas les images. Une statistique attribuant 22 % du phishing en ligne de fin 2023 aux codes QR a été supprimée car aucune source primaire n'a pu être trouvée ; elle n'a pas été remplacée par un chiffre approximatif. Une citation à une page du NCSC qui ne traite en fait pas des codes QR a été remplacée par le billet de blog du NCSC qui le fait, l'alerte de la FTC est maintenant datée précisément, et un domaine de phishing de démonstration a été remplacé par un exemple non cliquable sur l'espace réservé .example.

@@END@@