L'objection mérite d'être posée en premier : le QR code est aujourd'hui un vecteur de phishing, au point d'avoir son nom — le quishing. Un QR code d'authentification dynamique n'est pourtant pas le même objet, et la différence n'est pas cosmétique. Elle tient au sens de la lecture, à l'usage unique et au fait que rien de collectable ne transite.
Ce qu'est le quishing, précisément
Le QR malveillant sert à faire sortir la victime d'un environnement surveillé. Le raisonnement de l'attaquant est le suivant :
- une image n'est pas analysée comme un lien par la plupart des passerelles de messagerie ;
- le scan se fait sur un téléphone personnel, souvent hors du périmètre de filtrage de l'entreprise ;
- l'utilisateur ne voit pas l'adresse avant d'arriver dessus.
Le QR code y est un transport de leurre : il conduit vers une page de collecte. Ce que l'attaquant veut, c'est que la victime saisisse quelque chose sur cette page.
Trois différences structurelles
| QR code malveillant (quishing) | QR dynamique d'authentification | |
|---|---|---|
| Qui l'affiche | l'attaquant, dans un e-mail, une affiche, un courrier | le service légitime, dans la session que l'utilisateur a ouverte |
| Sens de la lecture | il emmène l'utilisateur ailleurs | il rattache un terminal déjà enrôlé à une session en cours |
| Durée de validité | tant que la page est en ligne | usage unique, canal éphémère |
| Ce qu'il transporte | une destination | l'ouverture d'un canal chiffré temporaire |
| Ce que la victime saisit | identifiant et mot de passe | rien de réutilisable |
La ligne décisive est la dernière. Une page de collecte n'a d'intérêt que s'il existe une valeur stable à saisir. Une approche passwordless et IDless supprime cette valeur : il n'y a ni mot de passe ni identifiant permanent à taper, donc rien à récolter, rien à revendre, rien à rejouer ailleurs.
Ce que le canal éphémère retire à l'attaquant
Chez HIAsecure, le QR code dynamique à usage unique ouvre un canal de communication éphémère et chiffré entre le service et le terminal de l'utilisateur. Le facteur d'authentification proprement dit reste la résolution du challenge cognitif ; le QR n'en est que le support de mise en relation.
Trois conséquences :
- La fenêtre d'interception se referme d'elle-même. Capturer un code déjà consommé n'a pas d'effet, ce qui neutralise le scénario « photographier l'écran » ou « rejouer plus tard ».
- La copie ne se propage pas. Un QR d'authentification affiché puis réutilisé sur une affiche ou dans un e-mail ne rouvre rien : il a servi.
- Le butin disparaît. Même en supposant l'échange observé, ce qui a circulé ne vaut que pour la session en cours.
Ce que cela ne résout pas, et qu'il faut traiter ailleurs
Un discours crédible délimite son périmètre.
- Le QR affiché dans le monde physique — parking, restaurant, affiche remplacée par un autocollant — reste un problème de vigilance, indépendant de l'authentification.
- Un QR relayé en temps réel par un attaquant qui s'interpose relève de l'AiTM et se traite comme tel : c'est un sujet de canal et de validation au niveau de l'action.
- Le vol de session après authentification n'est pas affecté par la méthode de connexion. La réponse est de valider l'opération sensible elle-même, pas seulement l'ouverture de session.
Comment le présenter aux utilisateurs
Le message de sensibilisation doit rester simple, et il change avec ce dispositif :
- On ne vous demandera jamais de scanner un QR code reçu par e-mail, SMS ou courrier pour vous authentifier. Le code apparaît dans la session que vous avez vous-même ouverte.
- On ne vous demandera jamais votre mot de passe — il n'y en a pas.
- Un code déjà utilisé ne fonctionne plus. Si on vous en réclame un « à nouveau », c'est un signal.
Ces trois règles ont une propriété rare en sensibilisation : elles sont vérifiables par l'utilisateur sans expertise technique, parce qu'elles portent sur le sens de l'échange et non sur la détection d'un faux.
FAQ
Pourquoi utiliser un QR code plutôt qu'un lien ?
Le QR sert de mise en relation entre une session ouverte sur un écran et un terminal déjà enrôlé, sans qu'aucun identifiant ne soit saisi. Un lien envoyé par message aurait exactement le défaut qu'on cherche à éviter : il arriverait par un canal que l'attaquant peut imiter.
Que se passe-t-il si quelqu'un photographie l'écran ?
Le code est à usage unique et ouvre un canal éphémère. Une photographie d'un code consommé ne rouvre rien, et la preuve d'authentification reste la résolution du challenge, propre à l'utilisateur.
Et sur un poste sans téléphone à disposition ?
La couverture des cas d'exception — terminal partagé, poste industriel, absence de mobile — fait partie du cadrage de déploiement, au même titre que pour une clé physique ou une application d'authentification. C'est un point à traiter parcours par parcours.
Cela remplace-t-il le filtrage de messagerie ?
Non. Le filtrage réduit le volume de leurres qui atteignent les utilisateurs. Le dispositif d'authentification réduit la valeur de ce qui passe. Les deux traitent des maillons différents.
Aller plus loin : l'authentification cognitive · le QR code dynamique face à l'AiTM · l'authentification par QR code · MFA résistant au phishing