Formation de sensibilisation au « quishing

Une formation de sensibilisation au « quishing » doit apprendre aux employés à se poser des questions sur la demande derrière un code QR, à vérifier sa source via un canal fiable et à le signaler sans ouvrir d’abord la destination. Dans un environnement de travail hybride, ce comportement doit s’appliquer aux e-mails, aux documents, aux écrans des salles de réunion, aux affiches imprimées, aux espaces visiteurs et aux appareils mobiles. Un programme efficace teste donc l’ensemble du processus de vérification et de signalement — et pas seulement le fait qu’une personne ait scanné un code.

Le défi opérationnel, c’est que les codes QR dépassent les frontières. Un employé peut voir un code sur un ordinateur portable de l’entreprise, le scanner avec son téléphone perso, puis devoir signaler une affiche imprimée au service des installations plutôt que de transférer un e-mail au service de sécurité. Les acheteurs doivent évaluer si une plateforme de formation et leurs processus internes peuvent garantir la sécurité, la confidentialité et la validité des preuves tout au long de ces transferts.

Ce guide est axé sur la prévention. Il ne fournit pas de charges utiles trompeuses pour les QR codes, de méthodes de collecte d’identifiants, de redirections malveillantes, de techniques de contournement de la livraison, ni d’instructions pour des tests non autorisés.

Commence par le comportement, pas par le code QR

Générer un code QR, c’est facile. Construire un exercice d’apprentissage contrôlé autour de celui-ci, c’est là le vrai travail. Avant de choisir un contenu ou une plateforme, définis ce que les employés doivent faire lorsqu’un code leur demande de se connecter, d’effectuer un paiement, d’installer une appli, de se connecter à un réseau, d’ouvrir un document ou de confirmer un compte.

Voici un modèle de comportement pratique :

Fais une pause : considère une demande QR inattendue comme un lien dont la destination est cachée.
Vérifie : utilise un aperçu approuvé ou une fonctionnalité de lecture, si disponible, sans te rendre sur une destination inconnue.
Vérifier : confirme la demande via un site web connu, une entrée d’annuaire, un service d’assistance ou la personne censée l’avoir émise.
Signaler : envoie suffisamment de contexte à l’équipe compétente sans partager d’identifiants, de données personnelles ou de captures d’écran sensibles.
Récupération : si le code a été ouvert, arrête toute interaction et utilise la procédure établie de signalement d’incident.

Ces étapes donnent à l’exercice un objectif mesurable. Un simple scan ne prouve pas qu’un employé a été trompé : un téléphone peut afficher automatiquement un aperçu de l’URL, un outil de sécurité peut l’inspecter, ou l’employé peut scanner le code juste pour en savoir plus. La vérification et le signalement sont des indicateurs plus fiables du comportement souhaité par l’entreprise.

Cartographier les surfaces de confiance des QR codes dans l’environnement de travail hybride

L’e-mail n’est qu’un des endroits où les employés rencontrent des QR codes. Une analyse de l’environnement de travail hybride doit recenser les utilisations numériques et physiques avant le début des tests.

Les surfaces de confiance courantes comprennent :

les e-mails, les chats, les présentations et les documents PDF ;
les commandes des salles de réunion, les écrans de visioconférence et les instructions pour le Wi-Fi des invités ;
les processus de réservation de bureaux, de gestion des visiteurs, de stationnement et d’accès aux bâtiments ;
les étiquettes d’actifs, les modes d’emploi des équipements, les retours de colis et les avis d’assistance ;
les affiches dans les cuisines, les ascenseurs, les espaces d’accueil et les bureaux partagés ;
les factures, les demandes de paiement, les justificatifs de dépenses et les communications avec les fournisseurs.

Ne pars pas du principe que tous les codes légitimes sont gérés de manière centralisée. Les services des installations, des RH, de l’informatique, des finances, du marketing, les bailleurs, les organisateurs d’événements et les gestionnaires de bureaux tiers peuvent tous en créer. Note le responsable, la destination prévue, la durée de vie estimée et le contact à joindre pour chaque utilisation à haut niveau de confiance. Cet inventaire aide les équipes à supprimer les codes abandonnés et évite qu’une simulation n’entre en conflit avec un processus métier réel.

Le placement physique mérite une gouvernance distincte. Un autocollant collé par-dessus un panneau légitime peut perturber les visiteurs et autres locataires qui n’ont jamais été autorisés à y accéder. Une formation sécurisée doit se dérouler dans des lieux contrôlés, avec une responsabilité interne clairement définie, des horaires de début et de fin précis, ainsi qu’une vérification après retrait. Si ce contrôle ne peut pas être garanti, limite le projet pilote à un canal numérique autorisé.

Concevoir une simulation de phishing par QR code en toute sécurité

Un exercice contrôlé doit minimiser les risques, même si un employé scanne le code. La page de destination doit appartenir à l’organisation ou au prestataire de formation, ou être contrôlée contractuellement par eux ; elle doit utiliser le protocole HTTPS, éviter les vraies pages de connexion et ne jamais demander de mots de passe, de codes d’authentification multifactorielle (MFA), de détails de paiement ou d’informations personnelles.

Mets en place ces mesures de sécurité avant le lancement :

un objectif documenté, un public autorisé et un responsable métier désigné ;
une destination figurant sur une liste blanche qui ne peut pas être modifiée après validation sans réévaluation ;
pas de publicité tierce, de traceurs, de téléchargements d’applications ni de chaînes de redirection incontrôlées ;
une page d’apprentissage neutre qui explique le comportement attendu après l’événement testé ;
une minimisation des données concernant l’appareil, le réseau, la localisation et les identifiants utilisateur ;
un mécanisme d’arrêt testé et une date d’expiration pour chaque code et chaque destination ;
une sensibilisation du service d’assistance et de l’équipe de sécurité pour que les signalements reçoivent une réponse cohérente.

L’opération devrait rester sûre même si le lien est copié, photographié ou ouvert par quelqu’un en dehors du groupe cible. Évite d’exposer les noms des employés, les détails de la campagne ou des informations sur le système interne sur la page de destination. Utilise une page de clôture générique pour les visiteurs inconnus et assure-toi que les codes périmés s'affichent de manière sécurisée.

Pour un examen plus approfondi des contrôles au niveau de la plateforme, consulte le guide d’achat du simulateur de quishing. Il aborde plus en détail les redirections contrôlées, la télémétrie mobile, la confidentialité et les retours d’expérience.

Mettre en place des procédures de signalement pour les codes numériques et physiques

« Signaler les codes QR suspects » n’est pas suffisant si les employés ne savent pas où ni comment le faire. La procédure de signalement dépend de l’endroit où le code est apparu.

Pour un code QR dans un e-mail ou un chat, le bouton de signalement existant peut conserver le message et les en-têtes d’origine. Pour un code sur une affiche ou un écran, les employés peuvent avoir besoin d’une rubrique du service d’assistance, d’une ligne d’urgence dédiée à la sécurité, d’un contact au sein du service des installations ou d’un formulaire de signalement sur mobile. Le processus doit prendre en compte l’emplacement et le contexte sans inciter les employés à scanner à nouveau le code.

Un bon signalement de QR code physique peut inclure :

l’endroit où le code a été trouvé ;
le processus métier qu’il était censé prendre en charge ;
le moment où il a été repéré ;
une photo de la signalétique environnante, si la politique de l’entreprise le permet ;
si l’employé a ouvert la page de destination ou saisi des informations.

Fais en sorte que le formulaire reste court. Les longs questionnaires poussent les gens à envoyer des messages informels par chat, tandis qu’exiger une URL de destination peut obliger à scanner une deuxième fois. L’équipe qui reçoit le signalement doit aussi disposer d’un guide de triage : vérifier si le code est autorisé, isoler ou retirer tout matériel physique suspect, contrôler la destination en toute sécurité à l’aide d’outils approuvés, et faire le point avec la personne qui a signalé le problème.

Le guide des scénarios de quishing sécurisé peut aider les équipes à choisir des exercices adaptés à leur activité une fois que le processus de signalement est en place.

Mesure les résultats au-delà du taux d’analyse

Utilise un petit ensemble d’indicateurs liés aux comportements définis au départ. Voici quelques mesures utiles :

vérifié sans analyse : les employés qui ont utilisé un canal de confiance avant d’interagir ;
signalé avant analyse : les signalements précoces qui ont permis à l’organisation de réagir rapidement ;
signalé après analyse : les employés qui ont identifié un problème et l’ont signalé sans aller plus loin ;
interaction poursuivie : poursuite de l’action au-delà de la page de destination contrôlée, sans collecte d’informations confidentielles ;
délai avant le premier signalement : la rapidité avec laquelle l’entreprise a été mise au courant ;
qualité du signalement : si le signalement contenait suffisamment de contexte pour permettre un triage ;
suivi de la formation : si l’employé a visionné la courte intervention pédagogique ;
répétition du comportement : si la vérification et le signalement s’améliorent au fil des exercices autorisés suivants.

Il faut distinguer les actions humaines des aperçus automatisés et des vérifications effectuées par les outils de sécurité. Les navigateurs mobiles, les scanners d’URL, les passerelles de messagerie et les plateformes de collaboration peuvent ouvrir des liens sans intervention de l’employé. Une plateforme devrait expliquer comment elle identifie ou filtre ces événements plutôt que de présenter chaque requête comme une analyse.

Compare les équipes ou les sites avec prudence. L’agencement des bureaux, la propriété des appareils, le poste occupé, la langue, les horaires de travail et l’accès aux outils de reporting peuvent influencer les résultats. Utilise les données pour repérer les lacunes dans les flux de travail et les besoins en formation, pas pour établir un classement public des individus.

Protège la vie privée sur les appareils personnels et gérés

Le travail hybride implique souvent qu’un code affiché sur un appareil d’entreprise soit ouvert sur un téléphone personnel. Ça n’autorise pas pour autant un suivi généralisé des appareils. Ne collecte que ce qui est nécessaire pour évaluer l’exercice, conserver les documents, limiter l’accès et expliquer le programme aux participants via le processus de gouvernance habituel de l’entreprise.

Les acheteurs devraient vérifier si la plateforme permet :

de mesurer l’événement approuvé sans collecter d’empreinte numérique de l’appareil ;
d’éviter la localisation précise et les métadonnées mobiles non pertinentes ;
de séparer les analyses de campagne des données brutes de l’événement ;
de prendre en charge un accès basé sur les rôles et une conservation limitée ;
d’anonymiser ou d’agréger les rapports le cas échéant ;
d’exporter des preuves sans exposer de détails inutiles au niveau individuel ;
de supprimer les données de campagne conformément à la politique et au contrat.

Les comités d’entreprise, les représentants du personnel, les délégués à la protection des données et les équipes juridiques pourraient devoir examiner le programme selon la juridiction et les pratiques de l’organisation. Leur implication doit façonner le modèle opérationnel avant le pilotage, et non après l’obtention des résultats individuels.

Évaluer les plateformes par rapport au modèle opérationnel complet

Une liste de contrôle pour l’acheteur doit suivre le parcours de l’employé, de la première prise de contact jusqu’à la réponse et l’apprentissage. Demande aux fournisseurs de présenter le flux de travail avec des conditions limites réalistes, plutôt que de se contenter d’un tableau de bord bien ficelé.

Sécurité et contrôle des destinations

Est-ce que chaque destination et chaque redirection peuvent être vérifiées avant le lancement ?
Peut-on désactiver immédiatement les codes et les destinations ?
La page d’apprentissage évite-t-elle de collecter des mots de passe et autres informations confidentielles ?
Que se passe-t-il lorsqu’on ouvre un code expiré ou transféré ?

Couverture des canaux et des appareils

Un programme peut-il distinguer les contextes liés aux e-mails, aux documents, aux écrans et aux codes physiques ?
Peut-on mesurer les événements mobiles sans suivi intrusif ?
Comment les vérifications automatisées d’URL sont-elles distinguées des actions des employés ?
La plateforme prend-elle en charge la participation via des appareils personnels dans le cadre d’un modèle de données minimisées ?

Rapports et retours d’information

Les employés peuvent-ils signaler un incident sans avoir à scanner quoi que ce soit ?
Les rapports sur les codes physiques peuvent-ils être transmis aux services de sécurité et aux responsables des locaux avec un contexte utile ?
Le retour d’information est-il immédiat, concis, accessible et disponible dans les langues requises ?
L’organisation peut-elle tester le processus de signalement avant le début de la campagne ?

Gouvernance et preuves

L’autorisation, le public cible, le propriétaire et la durée de conservation sont-ils enregistrés pour chaque exercice ?
L’accès peut-il être limité par rôle, équipe ou région ?
La piste d’audit indique-t-elle les validations, les modifications, le lancement, la mise en pause et l’expiration ?
Les rapports peuvent-ils montrer le comportement en matière de vérification et de signalement plutôt que le seul taux de scan ?

L’objectif n’est pas d’obtenir un maximum de données télémétriques. Il s’agit d’avoir suffisamment de preuves fiables pour améliorer le programme tout en gardant l’exercice proportionné.

Lance un projet pilote délimité avant de passer à l’échelle

Commence par un cas d’utilisation numérique contrôlé et un petit groupe autorisé. Vérifie le rendu du code, le contrôle de la destination, le comportement sur mobile, l’acheminement des rapports, le filtrage des analyses automatisées, les retours d’expérience, la gestion de l’assistance et l’expiration. Fais participer des représentants des services de sécurité, de l’informatique, de la protection des données, de la communication et du processus métier simulé.

N’ajoute des emplacements physiques qu’une fois que l’organisation est en mesure de contrôler leur mise en place et leur retrait. Note l’emplacement de chaque code, son propriétaire, l’heure de début, l’heure de fin et le résultat de la vérification après retrait. Si des bâtiments partagés ou des visiteurs sont concernés, limite les emplacements ou utilise une alternative numérique.

Après le projet pilote, analyse les points où le processus a échoué. Un faible taux de signalement peut indiquer des instructions peu claires, mais il peut aussi révéler que le formulaire de signalement mobile nécessite une authentification d’entreprise indisponible sur les appareils personnels. Corrige le flux de travail avant d’augmenter la complexité de la campagne ou la taille de l’audience.

L’Agence américaine de cybersécurité et de sécurité des infrastructures recommande d’apprendre aux gens à reconnaître et à signaler rapidement les messages suspects dans son guide sur le phishing. Applique ce même principe aux invites QR : le signalement doit être suffisamment simple pour être utilisé dès qu’un doute surgit.

FAQ

Qu’est-ce qu’une formation de sensibilisation au « quishing » ?

Il s’agit d’une formation de sensibilisation à la sécurité axée sur le phishing, qui utilise des codes QR pour masquer ou rediriger vers une destination. Une formation efficace combine des instructions courtes, des simulations contrôlées, des exercices de vérification, le signalement, le retour d’expérience et l’évaluation sur tous les canaux où les employés sont amenés à rencontrer des codes QR.

Un test de phishing par QR code doit-il collecter des identifiants ?

Non. Un exercice de sensibilisation sécurisé peut évaluer une interaction autorisée et fournir un retour d’expérience sans collecter de mots de passe, de codes d’authentification multifactorielle (MFA), de données de paiement ou d’informations personnelles. La destination doit être contrôlée, vérifiée et facile à désactiver.

Le taux de scan est-il un indicateur utile pour le quishing ?

C’est un indicateur diagnostique limité, pas un résultat complet. Des outils automatisés peuvent ouvrir les destinations des QR codes, et les employés peuvent scanner juste pour prévisualiser une URL. La vérification, les rapports, l’interaction continue, le délai avant le premier signalement et l’amélioration au fil du temps fournissent un meilleur contexte.

Comment les employés peuvent-ils signaler un code QR imprimé suspect ?

Prévoyez un moyen qui ne nécessite pas de scan, comme un petit formulaire du service d’assistance, une hotline, un contact au sein des services généraux ou un processus de signalement de sécurité sur mobile. Demandez l’emplacement et le contexte environnant, pas l’URL de destination.

Les simulations de « quishing » peuvent-elles impliquer des téléphones personnels ?

C’est possible, mais l’utilisation d’appareils personnels nécessite une gouvernance explicite et une minimisation stricte des données. Le programme doit éviter l’empreinte numérique des appareils, la localisation précise et les identifiants inutiles, et il doit proposer un moyen de signalement qui fonctionne sans inscription intrusive.

Intègre la vérification des QR codes dans le travail quotidien

Le meilleur programme n’apprend pas aux employés à craindre tous les QR codes. Il fait de la vérification de la source et du signalement une routine lorsqu’un code demande une authentification, un paiement, l’installation d’un logiciel ou toute autre action sensible. Ça nécessite des destinations contrôlées, des rapports spécifiques à chaque canal, des limites de confidentialité et des indicateurs qui récompensent les comportements utiles.

Évalue ces capacités avant de déployer un projet pilote à plus grande échelle. Quand tu seras prêt à mener des exercices de sensibilisation contrôlés au phishing et au quishing, inscris-toi à AutoPhish.

Formation de sensibilisation au « quishing » pour les environnements de travail hybrides