Des invitations adaptées aux personnes visées
Le FBI publie une alerte sur des campagnes d’hameçonnage ciblé qu’il attribue à Kimsuky, un groupe soutenu par l’État nord-coréen. Les organisations et experts liés aux questions nord-coréennes figurent parmi les publics concernés. Le bulletin du 8 janvier décrit des opérations observées en 2025 : sa date de publication ne marque pas le début de la technique.
Parmi les prétextes documentés, une demande d’avis mène à un questionnaire, tandis qu’une fausse conférence conduit à un formulaire de connexion imitant Google. Le message utilise un sujet professionnel crédible pour donner une raison de scanner.
Pourquoi déplacer la lecture vers le téléphone ?
Le QR transporte une adresse dans une image plutôt que dans un lien directement lisible. En le scannant depuis un email affiché sur ordinateur, la personne peut ouvrir la destination sur son téléphone. Le parcours quitte alors potentiellement l’environnement de travail dans lequel l’email a été reçu et contrôlé.
C’est un élément central du « quishing », l’hameçonnage par QR. La protection disponible dépend du téléphone, du navigateur et des outils de l’organisation. Le bulletin appelle à intégrer ces usages dans la sécurité du poste de travail ; il ne démontre pas que chaque QR passe tous les filtres.
Le portail de connexion est le point sensible
Une invitation attendue et une demande de mot de passe sont deux éléments à vérifier séparément. Avant de se connecter, il faut pouvoir expliquer pourquoi ce service est nécessaire et retrouver son accès officiel. Une présentation familière ou un nom de collègue ne suffit pas à valider la demande.
Le FBI évoque aussi le vol de jetons de session, qui peut permettre de réutiliser une session authentifiée. La double authentification reste utile ; sa résistance à l’hameçonnage et la gestion des sessions comptent également. Pour une organisation, le choix des protections et la réaction à un incident relèvent de son équipe de sécurité.
Confirmer l’invitation avant de suivre son QR
Un appel ou un échange par un canal déjà connu permet de confirmer l’envoi sans dépendre du message reçu. Pour un événement, recherchez son programme sur le site officiel de l’organisateur. Si vous avez déjà communiqué des identifiants professionnels ou validé une demande inhabituelle, prévenez rapidement votre support en précisant les actions effectuées.
Notre guide de sécurité rassemble les repères à examiner. Pour une image que vous possédez déjà, le lecteur Qurl affiche le contenu décodé sans ouvrir automatiquement le lien. La lecture d’une adresse n’authentifie pas une invitation : le guide des destinations inattendues aide à comprendre les étapes suivantes.