Ne faites pas confiance à un QR avant qu'il soit validé.

Le quishing est le phishing par QR code : un attaquant imprime, colle, envoie par e-mail ou en message privé un QR code qui, une fois scanné, ouvre une page de vol de credentials, une transaction de drainage de portefeuille, un piège WiFi ouvert ou une intention Android qui installe un logiciel malveillant. Le QR lui-même n'est qu'une image, donc les filtres anti-liens des e-mails et les avertissements du navigateur ne le voient jamais — jusqu'à ce que le téléphone de la victime ait déjà ouvert la destination. La défense doit intervenir au moment du scan, avant que le téléphone ne suive le lien.

Trois différences. Le vecteur d'attaque est physique ou visuel — un autocollant sur le QR d'un parcomètre, un flyer imprimé imitant une inscription MFA, un menu de restaurant dont le QR a été remplacé du jour au lendemain — ce qui contourne entièrement les passerelles e-mail. Les victimes font davantage confiance aux QR codes qu'aux liens dans un e-mail ; un QR semble pointer vers une destination choisie par celui qui a imprimé le support. Et les QR codes dynamiques acheminés via un raccourcisseur peuvent être redirigés vers une destination de phishing après distribution de l'asset imprimé, donc un QR sain à l'impression peut devenir hostile des mois plus tard. Les scanners de liens statiques répondent à « cette URL est-elle malveillante maintenant ? », pas à « qui peut modifier sa destination ? ».

Ne pointez pas l'appareil photo natif de votre téléphone dessus, cela ouvre immédiatement la destination. À la place, ouvrez check.qr.abundera.ai sur votre téléphone, scannez le QR via la caméra intégrée à la page (le décodage se fait localement ; l'image ne quitte jamais votre appareil) et lisez le verdict. Nous parcourons chaque saut de redirection, classifions si la destination est contrôlable par un tiers après impression du QR, et vérifions la réputation auprès de Google Safe Browsing et d'autres agrégateurs. Les verdicts Validé sont sûrs à ouvrir ; les verdicts Prudence et Ne pas continuer expliquent pourquoi.

Les autocollants sur parcomètres et bornes de recharge VE qui recouvrent le QR légitime par un autre pointant vers une page de vol de données bancaires — schéma le plus signalé en 2024-2025, observé à Austin, San Antonio et à travers le Royaume-Uni. Les QR de menus de restaurant remplacés par des pages de phishing du jour au lendemain par un attaquant changeant physiquement le présentoir. Les flyers d'inscription MFA d'entreprise dans les toilettes de bureaux qui semblent officiels mais enrôlent l'appareil de l'attaquant. Les QR de faire-part de mariage distribués des mois avant l'événement, où une compromission du compte raccourcisseur permet à un attaquant de réorienter des milliers de cartes imprimées. Les QR de paiement crypto sur les terminaux point de vente recouverts de l'adresse de portefeuille de l'attaquant. Le fil conducteur : le QR imprimé est identique au QR sain.

Les outils existants classifient si une URL est actuellement malveillante. Nous classifions en plus si la destination est contrôlable par un tiers après impression du QR — une propriété que nous appelons mutabilité. Un QR dynamique propre acheminé via un raccourcisseur reste à haut risque pour un autocollant de parcomètre ou un faire-part de mariage : le titulaire du compte raccourcisseur peut modifier la destination à tout moment. Nous exposons cette posture de contrôle comme un champ de verdict de premier niveau, aux côtés du verdict de contenu menaçant.

Non. Le payload décodé transite vers notre serveur via HTTPS pour nous permettre de parcourir la chaîne et d'interroger les bases de réputation — c'est une nécessité fonctionnelle, pas un choix — mais il n'est jamais persisté. Les verdicts sont mis en cache via un hachage SHA-256 d'un discriminateur par type de payload concaténé avec un salt secret côté serveur. Le payload d'origine ne peut être reconstruit à partir d'aucune entrée de cache.

qr.abundera.ai est un générateur qui promet tout-côté-client : rien ne quitte votre appareil. Ce vérificateur de sécurité transmet le payload décodé au serveur par nécessité. Nous séparons les deux surfaces pour que la promesse client-only reste nette sur le domaine générateur, et que la surface au modèle de confidentialité inversé soit clairement étiquetée ici.

Niveau Pro. Soumettez un QR pour le suivi et nous re-parcourons la chaîne périodiquement. Notification par e-mail dès que les cibles de redirection, la destination finale ou l'ensemble des opérateurs de services d'indirection change. Cela détecte le schéma de quishing le plus courant : imprimer un QR propre, puis basculer la destination vers du phishing des mois plus tard pour récolter les scans de l'asset imprimé.

Oui, au niveau Pro. L'API est RESTful et retourne un verdict JSON structuré avec type de payload, classe de menace, mutabilité, chaîne de redirection, attribution de contrôle par saut et résultats des sous-payloads. Conçu pour l'intégration dans des applications de portefeuille, des suites de sécurité mobile, le filtrage d'URL en entreprise et les enrichisseurs de prévisualisation de liens Slack/Teams.

Pas pour l'instant. Le classifieur est en source fermée pendant que les travaux brevets sous-jacents sont en cours d'instruction. Nous pourrons publier des implémentations de référence des algorithmes divulgués après obtention du brevet. Le contrat API est public et stable.