Codes QR : La nouvelle ligne de front de l’espionnage cybernétique nord-coréen

Tout commence par un simple e-mail : une invitation à une conférence, un questionnaire de politique, peut-être une note d’un conseiller de confiance. Mais cette fois, l’appât n’est pas un lien suspect, c’est un code QR, promettant la commodité tout en cachant un piège numérique. Le FBI a tiré la sonnette d’alarme : le tristement célèbre groupe Kimsuky de Corée du Nord utilise les codes QR comme arme dans une nouvelle génération d’attaques de phishing, déjouant les mesures de sécurité et mettant en danger même les organisations les plus prudentes.

L’essor du “Quishing” : Comment les codes QR sont devenus les meilleurs alliés des hackers

Autrefois simple raccourci pour partager des informations, le code QR est devenu la dernière arme de l’arsenal des hackers étatiques. Selon une récente alerte du FBI, le groupe Kimsuky - une menace persistante avancée (APT) liée à la Corée du Nord - a changé de tactique, intégrant des codes QR malveillants dans des e-mails de phishing envoyés à des cibles de grande valeur dans le monde entier.

Ces attaques, baptisées “quishing”, sont d’une efficacité alarmante. Contrairement aux liens de phishing traditionnels, qui peuvent être détectés et bloqués par les systèmes de sécurité des e-mails, les codes QR passent souvent inaperçus. Lorsqu’une victime scanne le code avec son appareil mobile, elle est redirigée vers des sites de collecte d’identifiants très convaincants - souvent adaptés aux navigateurs mobiles - où les hackers peuvent récupérer identifiants et jetons de session.

Dans des cas récents, Kimsuky s’est fait passer pour des conseillers en politique étrangère afin d’attirer des dirigeants de think tanks et a envoyé de fausses invitations à des conférences à des entreprises stratégiques. Les deux stratagèmes comportaient des codes QR se faisant passer pour des ressources légitimes, mais menant en réalité au vol d’identifiants. Les attaquants ne se sont pas arrêtés aux noms d’utilisateur et mots de passe : en volant les jetons de session, ils pouvaient prendre le contrôle des comptes sans déclencher d’alerte MFA - une défense cruciale pour de nombreuses organisations.

Le FBI avertit que ces attaques sont particulièrement dangereuses car les appareils mobiles, souvent utilisés pour scanner les codes QR, échappent fréquemment à la surveillance de la sécurité d’entreprise. En conséquence, le quishing représente une menace “résistante à la MFA”, permettant aux attaquants d’établir un accès à long terme et de lancer d’autres attaques à partir de comptes compromis.

Et il n’y a pas que Kimsuky. L’an dernier, des chercheurs ont découvert des kits de phishing comme “Gabagool” utilisant des techniques de codes QR en image fractionnée pour tromper les scanners d’e-mails, preuve que la tactique se répand dans la cybercriminalité souterraine.

Perspectives : Les dangers cachés dans votre poche

La commodité des codes QR est devenue leur talon d’Achille. Tandis que les organisations s’empressent de sécuriser les passerelles e-mail et de renforcer la MFA, les attaquants exploitent déjà les angles morts de la sécurité mobile. Le message est clair : la vigilance doit aller au-delà de la boîte de réception et s’étendre à chaque scan. Entre de mauvaises mains, même la technologie la plus simple peut devenir un puissant outil d’espionnage.

WIKICROOK

• APT (Advanced Persistent Threat) : Une menace persistante avancée (APT) est une cyberattaque ciblée et de longue durée menée par des groupes expérimentés, souvent soutenus par des États, visant à voler des données ou perturber des opérations.
• Quishing : Le quishing est une cyberattaque où des escrocs utilisent des codes QR pour diriger les victimes vers des sites malveillants ou voler des informations sensibles lors du scan.
• Authentification multifacteur (MFA) : L’authentification multifacteur (MFA) est une méthode de sécurité qui exige que les utilisateurs fournissent deux preuves d’identité ou plus avant d’accéder à un compte.
• Jeton de session : Un jeton de session est un code numérique unique qui permet aux utilisateurs de rester connectés à des sites ou applications. S’il est volé, des attaquants peuvent accéder aux comptes sans mot de passe.
• Collecte d’identifiants : La collecte d’identifiants est le vol de données de connexion, comme les noms d’utilisateur et mots de passe, souvent via de faux sites ou des e-mails trompeurs.