Pourquoi les arnaqueurs ont commencé à vous envoyer des images de liens par mail

Un scanner de lien est une chose simple et impitoyable. Il lit les URLs texte dans un email, les vérifie par rapport à des listes de domaines malveillants connus, suit les redirections et signale celles qui mènent quelque part de louche. Il fait bien son travail. Alors les arnaqueurs ont fait l'évidence : ils ont arrêté d'envoyer des liens.

Ils se sont mis à envoyer des images de liens.

C'est le truc derrière le « quishing » — le phishing par code QR. Un code QR est une URL encodée sous forme d'image en noir et blanc, donc une destination comme login-verify.example cesse d'être du texte dans le corps du message et devient des pixels. Le point n'est pas que l'adresse soit chiffrée ; n'importe quel appareil photo la décode instantanément. Le point est qu'elle n'est plus écrite nulle part où vous, ou un analyseur de texte, puissiez la lire avant de vous engager.

Qu'un filtre puisse toujours la lire dépend entièrement du produit. Le National Cyber Security Centre du Royaume-Uni expose la limite dans des termes prudents dans sa note de février 2024 sur les codes QR : « Les outils de sécurité conçus pour détecter les emails de phishing ne scannent pas tous les images. » Remarquez ce que cela ne dit pas. Cela ne dit pas qu'aucun d'entre eux ne le fait. Microsoft a publié l'autre face de la médaille en novembre 2024 : Defender for Office 365, a-t-il écrit, « a amélioré ses capacités à extraire les URLs des codes QR », en utilisant le traitement d'images en début de flux de messagerie pour « extraire et enregistrer les URLs cachées dans les codes QR », et il extrait maintenant aussi les métadonnées QR et cherche le motif environnant — texte de corps minimal, un leurre de marque, une chaîne de redirection. Donc « le filtre ne peut pas le lire » était vrai pour de nombreux produits pendant un certain temps, reste vrai pour certains, et n'est pas une loi de la nature. Si vous voulez savoir si c'est vrai pour votre propre messagerie, c'est une question sur le produit et la configuration de votre fournisseur, pas sur les codes QR.

Les chiffres qui sont vérifiables viennent du même fournisseur, et ils valent la peine d'être lus avec le contexte attaché. Le post de Microsoft de novembre 2024 décrit une montée en flèche avec « certaines attaques augmentant à un taux de croissance de 270% par mois », dit que « à l'apogée, Defender for Office 365 bloquait 3 millions de tentatives quotidiennement », et qu'après le déploiement du travail de détection « nous avons vu ce chiffre diminuer à 200 000 tentatives de phishing par code QR chaque jour ». Le Microsoft Digital Defense Report 2026 met un total sur l'échelle actuelle : 145+ millions d'attaques de phishing par code QR détectées entre juillet 2025 et juin 2026 par Defender for Office 365. Tous ces chiffres sont la télémétrie d'un fournisseur pour son propre produit, auto-déclarés. Ce ne sont pas une part de tout le phishing, et ce ne sont pas un total de l'industrie — une version antérieure de cet article citait une part de 25% qui ne semble être soutenue par aucune publication Microsoft, et ce chiffre a été retiré plutôt que remplacé.

Ce qui rend la technique durable est la transmission, pas l'encodage. L'email arrive sur un ordinateur portable, où vivent le filtre d'entreprise, le navigateur géré et le gestionnaire de mots de passe. Le code est scanné sur un téléphone, qui est généralement un appareil personnel. Le NCSC énumère cela parmi les raisons pour lesquelles les criminels favorisent la méthode : « Les appareils personnels peuvent ne pas avoir les mêmes protections de sécurité qu'un ordinateur fourni par votre employeur. » Sur un téléphone, la barre d'adresse est tronquée, l'URL complète est difficile à inspecter, et un gestionnaire de mots de passe qui aurait refusé de remplir automatiquement sur le mauvais domaine n'est pas impliqué du tout.

Les thèmes sont ennuyeusement prévisibles, ce qui est un indice en soi, et ils apparaissent dans les avertissements aux consommateurs presque mot pour mot. L'alerte de décembre 2023 de la FTC décrit les arnaqueurs couvrant le vrai code QR sur un parcmètre avec leur propre autocollant, et avertit clairement : « Ne scannez pas un code QR dans un email ou un message texte auquel vous ne vous attendiez pas », particulièrement un qui vous pousse à agir immédiatement. Le communiqué de service public de la FTC's IC3 de janvier 2022 dit la même chose sur la falsification — « Les cybercriminels falsifient les codes QR numériques et physiques pour remplacer les codes légitimes par des codes malveillants » — et dit aux gens de vérifier les codes physiques pour « un autocollant placé sur le code original ». Un code pour réactiver l'authentification multifacteur qui expire, une demande de signature à laquelle vous ne vous attendiez pas, un avis d'expédition vous demandant de confirmer la livraison : l'objectif de conception est toujours une petite raison plausible de soulever le téléphone avant que quoi que ce soit soit vérifié.

Donc les mesures défensives sont les ennuyeuses, et ce sont celles que les agences publient réellement. Le conseil d'IC3, pour un message qui demande un paiement ou une connexion après un scan : « appelez l'entreprise pour vérifier », en utilisant « le numéro de téléphone de l'entreprise par un site de confiance plutôt qu'un numéro fourni dans l'email », et « évitez de faire des paiements par un site auquel vous avez accédé depuis un code QR. Entrez plutôt manuellement une URL connue et de confiance. » Rien de tout cela ne vous oblige à juger si un carré particulier est malveillant — ce qui est la partie aucun humain n'est bon à faire.

Une chose qu'un code QR dans un email ne vous dit jamais est si le message a été forgé. L'authentification de domaine répond à une question entièrement différente, et la spécification DMARC actuelle place explicitement « l'analyse de contenu » en dehors de son champ d'application — c'est pourquoi un message entièrement authentifié peut porter une image malveillante. Ce mécanisme mérite sa propre lecture, et c'est le sujet d'un article compagnon dans cette série.

Correction, 20 octobre 2026. Une version antérieure de cet article disait qu'un filtre anti-spam ne peut pas lire un code QR et que les scanners sont aveugles à l'adresse encodée. C'est vrai pour certains produits de sécurité email et non pour d'autres : Microsoft a documenté l'extraction d'URLs des codes QR dans Defender for Office 365 en novembre 2024, et la formulation du NCSC est que tous les outils ne scannent pas les images. L'article citait aussi une figure d'environ 25% du phishing par email utilisant des codes QR, attribuée à Microsoft ; aucune publication Microsoft soutenant cette part n'a pu être trouvée, donc le chiffre a été retiré et remplacé par des chiffres que Microsoft publie directement, avec leur produit et période indiqués. Un domaine de phishing de démonstration qui avait été rendu comme un lien actif a été remplacé par un exemple non cliquable dans l'espace réservé .example, et une citation de la page d'accueil de la CISA a été remplacée par les avis spécifiques de la FTC's IC3 et de la FTC.

@@END@@