Les cybercriminels ajoutent de plus en plus les codes QR à leur panoplie pour diriger les mobinautes vers des sites Internet hébergeant des malwares. A quoi ressemble ces pièges en ligne, et comment s'en protéger ?

Les codes QR sont un procédé de communication Internet assez récent, qui se développe fortement en ce moment. Proposés sur écran, sur produits, sur affiches ou autres, ils favorisent l'interaction entre un annonceur et sa cible, de façon ludique et instantanée grâce aux fonctions de nos smartphones. Tellement réactifs d'ailleurs, que certains cybercriminels n'hésitent pas à s'approprier ces codes QR pour piéger les mobinautes.

Qu'est-ce qu'un code QR ?

Les codes QR (pour Quick Response) sont des code-barres d'un nouveau genre, constitués de carrés noirs sur fond blanc. Le contenu de ce code peut être interprété rapidement par un lecteur de code-barres, ou plus généralement par une application smartphone : à l'aide de sa caméra, l'appareil lit le code, et obéit à celui-ci (affichage sur l'écran d'un texte ou d'une page web, déclenchement d'un appel téléphonique ou d'un envoi SMS, etc.). Par exemple, le code QR ci-contre envoie le mobinaute qui le scanne vers panoptinet.com.

Du QRcode à l'EvilQR

Devant le succès de ce nouveau procédé de communication, les cyberescrocs n'ont pas mis très longtemps à l'adopter : les codes QR qu'ils développent et répandent renvoient vers des sites malveillants, pouvant cacher un malware. Voici d'ailleurs l'exemple d'un code QR malveillant – ou EvilQR – flouté pour des raisons évidentes de sécurité :

En scannant ce code, le mobinaute active directement le téléchargement d'une application Android (.apk). Il s'agit d'un programme de messagerie instantanée (ICQ), qui envoie plusieurs messages SMS surtaxés (6$ pour chaque envoi). Vous reconnaîtrez le malware sur votre smartphone Android si vous découvrez une icône nommée "JimmRussia" sur le menu du téléphone.

Comment se protéger des EvilQR ?

L'infection via un code QR frauduleux n'est pas une fatalité ! Il est parfaitement possible d'utiliser cette nouvelle technologie de la communication sans en subir les travers. Notamment si l'on respecte quelques principes de précaution :

• Rester vigilant : scanner un code QR avec son smartphone, c'est comme cliquer sur un lien hypertexte sur son ordinateur, il faut rester prudent et s'assurer de la destination proposée.
• Choisir une redirection manuelle (par validation) : beaucoup d'applications de lecteur QR scannent le code et redirigent automatiquement le mobinaute vers la cible. Préférez plutôt une application qui vous demande confirmation avant redirection. C'est moins pratique, moins rapide, mais cela permet de vérifier l'URL de destination (site officiel ou adresse louche). Appsec-labs propose d'ailleurs une liste de comparaison entre différentes applications QR code.
• Protéger le smartphone : comme pour les ordinateurs, il existe aujourd'hui de nombreuses solutions de sécurité pour nos "téléphones intelligents" : Kapersky, AVG, Creative Apps, Lookout Mobile Security, NetQin, etc.

 

Sources : qrdresscode.com / securelist.com

Image : By Oren neu dag (Own work) [CC-BY-SA-3.0], via Wikimedia Commons