Phishing sur mobile : SMS, WhatsApp et QR — quelles politiques les PME doivent réellement mettre en place

Pourquoi le phishing mobile compte en 2025

• Le smishing (phishing par SMS) a explosé et constitue un vecteur majeur de fraude en Europe ; le “quishing” basé sur les QR codes progresse rapidement. ENISA
• Abus de WhatsApp/des appareils liés : des acteurs alignés sur des États sont passés de l’e-mail aux prises de contrôle de messageries, souvent en trompant les cibles pour qu’elles scannent des QR codes WhatsApp Web. Traitez les scans comme des mots de passe. Microsoft+1
• La fatigue MFA a imposé de repenser les validations push ; Microsoft a fait basculer des locataires vers le number-matching afin de contrer les approbations par push-spam. Microsoft Learn+1
• Le FBI/IC3 met en garde contre la fraude basée sur les QR codes, y compris des arnaques où des colis non sollicités contiennent un QR menant au vol d’identifiants ou à des malwares. Internet Crime Complaint Center+1

Pour avoir un aperçu des incidents et du « ce qui a déraillé », parcourez nos 10 Wild Phishing Stories (2024–2025)—nous y mettons en lumière des détournements de comptes facilités par QR et des pivots vers les applis de messagerie, avec des garde-fous concrets.

---

Le manuel du phishing mobile-first (comment les attaques fonctionnent)

1. Smishing et appâts via la messagerie
   De courts messages usurpent des entreprises de livraison, des frais de péage ou des réinitialisations IT. Les liens ouvrent des pages de collecte d’identifiants, des formulaires de paiement, ou poussent les utilisateurs à installer des applis malveillantes.
2. Les QR codes comme jetons de connexion
   WhatsApp et d’autres applis utilisent les QR pour lier des appareils. Un scan forcé = prise de contrôle de session — même sans mot de passe. La politique doit considérer « Scanner pour lier » = étape d’authentification sensible.
3. Abus des invites MFA
   Les attaquants inondent l’utilisateur de demandes jusqu’à ce qu’il appuie sur « Approuver » par lassitude. Le number-matching (saisir le code affiché à l’écran) et le contexte géographique/locataire réduisent ces approbations.
4. Malware sur mobile
   Les liens volent généralement les identifiants, mais peuvent aussi pousser à installer des logiciels malveillants — plus facile sur Android via des APK chargés en sideload ; iOS est plus difficile (barrière de l’App Store), mais des profils risqués/vulnérabilités 0-click existent. Des protections mobiles comme Play Protect réduisent le risque sans l’annuler.

---

Quelles politiques les PME ont réellement besoin de mettre en place (prêtes à adapter)

Ci-dessous, des clauses concises à intégrer dans vos politiques d’utilisation acceptable, BYOD et messagerie. Chacune inclut un contrôle et un bref « pourquoi ».

1) BYOD : niveau de sécurité minimal

• OS et niveau de correctifs : les appareils personnels utilisés pour le travail doivent exécuter un OS pris en charge par l’éditeur et avoir les mises à jour automatiques activées. (Android, iOS, iPadOS).
• Contrôles de sécurité de l’appareil : verrouillage d’écran, stockage chiffré et possibilité d’effacement à distance des données professionnelles via MDM/Work Profile (COPE/COSU ou Android Work Profile/iOS User Enrollment).
• Sources des applications : aucune application sideloadée pour un usage professionnel ; les applis métier doivent provenir de boutiques gérées. (Les sources inconnues sur Android augmentent le risque ; Play Protect atténue, mais ne remplace pas une politique.) NCSC+2NCSC+2

Pourquoi : les recommandations du NCSC sur les appareils insistent sur l’équilibre entre ergonomie et contrôles en BYOD ; vous voulez une séparation des données gérée et la possibilité de révoquer l’accès. NCSC+1

2) Messagerie et applis sociales (WhatsApp, Signal, iMessage, etc.)

• Périmètre d’usage professionnel : si des applis de messagerie sont utilisées pour le travail, limitez-les aux appareils gérés ; aucun appairage via QR sur des postes non gérés.
• Surveillance des appareils liés : alertez lors de nouveaux appareils liés ; exigez une revérification tous les 30 jours.
• Aucune validation sensible par chat : les paiements, les changements de coordonnées bancaires ou les réinitialisations SSO doivent passer par ticket + rappel vers un numéro provenant de l’annuaire.

Pourquoi : les acteurs de menace abusent activement du lien d’appareils et des QR. Traitez un scan de QR comme une connexion SSO. Microsoft

3) Gestion des QR codes

• Considérez les QR comme des identifiants : scanner un QR pour se connecter ou lier un appareil revient à saisir un mot de passe ; ne scannez que des QR provenant de sources de confiance sur des appareils gérés.
• Prévisualisez avant d’ouvrir : le personnel doit prévisualiser l’URL (fonction prise en charge par le navigateur/l’application mobile) et vérifier le domaine avant d’ouvrir.
• Bloquez les raccourcisseurs risqués : filtrez les raccourcisseurs courants (sauf usages métier autorisés).

Pourquoi : le FBI/IC3 a documenté des fraudes aux QR codes ; les attaquants masquent les destinations et capitalisent sur la confiance. Internet Crime Complaint Center

4) Renforcement du MFA (stop à la fatigue des push)

• Imposez le number-matching pour les validations push dans l’ensemble du tenant.
• Privilégiez les méthodes résistantes au phishing (FIDO2/passkeys) et désactivez le repli SMS après l’enrôlement. Microsoft Learn+1

Pourquoi : le spam de push fonctionne ; le number-matching et les passkeys réduisent nettement les abus.

5) Contrôles du navigateur mobile et des applis

• Navigation sûre et validation des applis : laissez Play Protect activé ; bloquez les installations depuis des sources inconnues ; exigez des boutiques d’applications gérées. Google Help
• Profils/configurations : interdisez l’installation de profils de configuration non approuvés sur iOS ; les profils peuvent modifier les racines de confiance, le VPN/DNS ou le MDM — un risque sérieux. TechTarget

6) Paiements et validations sur mobile

• Double validation + rappel : tout paiement, changement de RIB fournisseur ou achat de cartes cadeaux nécessite deux approbateurs + un rappel vers un numéro connu (pas celui figurant dans le message).
• Pas de « valider via un lien dans le SMS » pour les workflows finance/RH.

Pourquoi : la BEC classique reste coûteuse ; les garde-fous procéduraux surpassent le jugement humain sous pression temporelle.

7) Signalement et réponse (voie rapide)

• Signalement en un tap : ajoutez une action Signaler SMS/Message dans l’application d’aide MDM ; orientez vers SecOps + le fournisseur pour le retrait.
• Conserver les preuves : le personnel doit garder le message, faire une capture du lien complet et noter l’heure avant suppression.
• Blocages automatisés : ajoutez les domaines/hôtes des expéditeurs et des destinations aux passerelles mobiles et e-mail ; surveillez les nouveaux appareils liés.

---

Checklist de déploiement

1. Activez le number-matching (Microsoft Entra ID) et passez en revue les méthodes MFA ; privilégiez les passkeys/FIDO2.
2. Mettez à jour la politique BYOD avec les clauses ci-dessus ; exigez des boutiques d’applications gérées et aucun appairage QR sur postes non gérés.
3. Définissez des règles MDM : bloquez les sources inconnues sur Android, bloquez les profils iOS non approuvés, alertez sur les nouveaux appareils liés WhatsApp/Signal.
4. Lancez une formation courte avec AutoPhish. Pour une approche compatible avec les comités d’entreprise, utilisez des métriques anonymisées — notre guide explique comment.

---

FAQ

Q1) Le phishing peut-il se faire par téléphone ?

Oui. Le smishing (SMS) et les messages directs sur messagerie sont des canaux de phishing courants. Les messages renvoient vers de fausses pages de connexion, des sites de paiement ou des installations d’applications ; ils peuvent aussi tenter des rappels de vishing (phishing vocal). CISA définit le smishing comme une ingénierie sociale par SMS et détaille comment des liens peuvent déclencher des actions sur mobile. CISA

Q2) Le phishing peut-il servir au vol d’identité ?

Absolument. L’objectif est souvent le vol d’identifiants (e-mail, banque, applications cloud) ou la collecte de données personnelles permettant la prise de contrôle de comptes et la fraude financière. Les PSA du FBI/IC3 ont à plusieurs reprises averti que les campagnes QR/smishing récoltent des données personnelles et financières à des fins frauduleuses. Internet Crime Complaint Center

Q3) Un lien de phishing peut-il installer un malware sur mon téléphone ?

Parfois — mais cela nécessite généralement des étapes supplémentaires.

• Sur Android, un site peut essayer de vous faire sideload un APK ; Play Protect réduit le risque, mais autoriser les sources dans la politique reste essentiel. Google Help
• Sur iOS, les installations directes sont restreintes ; les attaquants peuvent pousser des profils de configuration malveillants ou exploiter de rares vulnérabilités zero-click. (Des avis récents sur WhatsApp soulignent des problèmes zero-click ciblés qui ont été corrigés ; gardez les applis à jour.) TechTarget+1La plupart du temps, le risque majeur est le vol d’identifiants et de session — ce qui mène à la fraude d’identité même sans malware. CISA

Q4) Les QR codes sont-ils sûrs à scanner ?

Traitez les QR codes comme un lien : ne scannez que depuis des sources de confiance, privilégiez les appareils gérés et prévisualisez l’URL avant d’ouvrir. Le FBI/IC3 a spécifiquement alerté sur des escroqueries basées sur les QR (y compris des objets non sollicités avec QR intégré). Internet Crime Complaint Center

Q5) Le phishing sur WhatsApp est-il réel si j’ai le 2FA ?

Oui. Les attaquants peuvent piéger les utilisateurs pour qu’ils lient un nouvel appareil via QR, contournant les mots de passe en volant l’accès de session. Activez le code PIN de vérification en deux étapes de WhatsApp, surveillez les appareils liés et ne liez jamais un appareil depuis un poste non fiable. Microsoft

Q6) Que devraient faire différemment la finance et les RH sur mobile ?

Aucune approbation ni changement bancaire via des liens ou un chat. Utilisez ticket + double validation + rappel vers un numéro connu, à chaque fois. Notre récapitulatif d’incident explique pourquoi cela stoppe même les coups tordus de deepfake/DM les plus convaincants.

---

Lectures et ressources complémentaires

• Bonnes pratiques mobiles de CISA et pourquoi FIDO/MFA résistants au phishing battent les codes SMS/app. CISA
• Conseils BYOD du NCSC pour structurer une politique d’usage personnel saine et exploitable. NCSC+1
• Microsoft sur l’évolution des attaques d’identité (fatigue des push → number-matching → passkeys). Microsoft Learn+1
• PSA du IC3 sur la fraude par QR (arnaques actuelles, signalement). Internet Crime Complaint Center

---

Comment AutoPhish peut aider

• Simulations adaptées au mobile : scénarios sûrs de smishing, QR et type messagerie, avec coaching instantané (bientôt disponible)
• Formation pilotée par les politiques : notre approche de formation respectueuse de la vie privée permet de garder les comités d’entreprise à bord tout en faisant évoluer les comportements.