Le service Tahqaq de la NCA saoudienne analyse désormais les fichiers et les codes QR avant que vos employés ne les ouvrent

Comment vérifier qu'un fichier ou un code QR est sûr avant de l'ouvrir ?

Tout employé de votre entreprise peut désormais analyser un fichier ou un code QR avant de l'ouvrir, grâce au service Tahqaq de l'Autorité nationale de cybersécurité d'Arabie saoudite (NCA). Le service a démarré le 29 décembre 2025 avec la seule analyse des liens, et en octobre 2026 la NCA a ajouté l'analyse des fichiers et celle des codes QR. Les liens et les codes QR s'envoient au numéro WhatsApp +966118136644, les fichiers se téléversent sur le portail Haseen, et le résultat est instantané, à toute heure. Ce qu'il vous faut, c'est une règle pour votre équipe : personne n'ouvre une pièce jointe inattendue ni ne scanne un code inconnu sans l'avoir vérifié. Mais gardez à l'esprit que le résultat est une estimation du risque, pas une garantie, et que l'analyse de fichiers est encore en phase d'essai.

Qu'est-ce qui a changé dans le service ?

La NCA a lancé le service le 29 décembre 2025, selon l'Agence de presse saoudienne, pour analyser les liens qui circulent avant que les gens ne les visitent. Le 7 octobre 2026, à l'occasion du Mois mondial de la sensibilisation à la cybersécurité, la NCA a annoncé dans son communiqué officiel deux nouvelles fonctions : l'analyse des fichiers et l'analyse des codes de réponse rapide, appelés codes QR. Le service fait partie de Haseen, le portail national des services de cybersécurité, et la NCA l'exploite en partenariat avec son bras technique, la Saudi Information Technology Company (SITE).

Le détail que beaucoup manquent sur la page officielle du service est que les deux canaux n'analysent pas les mêmes choses :

Autrement dit, l'analyse de fichiers n'est disponible que sur le portail Haseen, selon la page de la NCA. La page du service Tahqaq for Files indique que la vérification est automatisée par le moteur du service, que les résultats sont instantanés et que le service fonctionne 24 heures sur 24 et 7 jours sur 7, en arabe et en anglais, sans document à fournir. La même page qualifie le service d'analyse de fichiers de « bêta ».

Pourquoi est-ce important pour votre entreprise ?

Une intrusion dans une entreprise peut commencer par le clic d'un seul employé plutôt que par une attaque sophistiquée. Une facture PDF d'un fournisseur que vous ne connaissez pas, un CV qui arrive aux RH sous forme de fichier compressé, un avis d'expédition qui vous demande d'ouvrir une pièce jointe, ou un autocollant avec un code QR que quelqu'un a collé par-dessus l'autocollant de paiement d'origine dans votre agence. La NCA indique dans son annonce que les nouvelles fonctions répondent à l'usage croissant des fichiers et des codes QR dans les activités quotidiennes.

Un code QR est plus dangereux qu'un lien ordinaire sur un point : un lien écrit peut être lu, et vous remarquerez peut-être que le nom du site semble faux, mais avec un code vous ne savez pas où il mène tant que vous ne l'avez pas scanné. Le vérifier avant d'ouvrir sa destination comble une faille que l'œil ne peut pas combler.

Comment votre équipe l'utilise : cinq étapes

• Enregistrez le bon numéro : copiez le numéro WhatsApp +966118136644 depuis la page de la NCA elle-même et enregistrez-le dans les téléphones des employés sous un nom clair. Ne vous fiez pas à un numéro reçu dans un message, car les fraudeurs usurpent l'identité des services publics.
• Les liens et les codes passent d'abord par WhatsApp : avant de toucher un lien dans un message, ou de scanner un code sur un autocollant, une facture ou une publication, l'employé l'envoie au numéro du service et attend le résultat.
• Les fichiers passent par le portail Haseen : une pièce jointe que l'employé n'attendait pas, en particulier les fichiers compressés, les fichiers exécutables et les documents qui demandent d'« activer le contenu », est téléversée sur le portail avant d'être ouverte.
• Lisez le résultat comme une estimation, pas comme un verdict : la NCA indique que l'analyse de fichiers évalue la « probabilité » d'une menace. Si le résultat est suspect, l'employé supprime le fichier et prévient le responsable. S'il revient sain mais que le message lui-même est étrange, comme une demande de paiement urgente ou une demande de mot de passe, il doit appeler l'expéditeur à un numéro qu'il connaît déjà avant de faire quoi que ce soit.
• Donnez votre avis : le service permet de commenter le résultat de l'analyse ; signalez donc un résultat que vous estimez erroné, et consignez le cas en interne pour que le reste de l'équipe sache ce qui vous est parvenu.

Les limites du service : ce qu'il ne couvre pas

Le service est utile, mais ce n'est pas un système de protection pour votre entreprise. La NCA le range parmi les services individuels, destinés aux citoyens et aux résidents du Royaume. Retenez trois points :

• Il ne remplace pas la protection de base : logiciels de sécurité sur chaque appareil, mises à jour du système, filtrage des e-mails, sauvegardes et vérification en deux étapes restent tous nécessaires. Vous trouverez ces bases dans notre guide de cybersécurité pour les petites et moyennes entreprises.
• Analysez ce qui est suspect, pas vos propres documents : le service sert à vérifier un fichier étrange que vous avez reçu, pas à téléverser vos contrats, vos fichiers de paie ou les données de vos clients. Ne téléversez pas sans nécessité un fichier contenant des données sensibles dans un outil d'analyse externe, quel qu'il soit.
• Les organisations disposent d'un autre service : parmi ses services aux organisations, la NCA propose un service appelé Files Examination Services, qui examine le fichier dans un environnement isolé comprenant Windows 7 et Windows 10, et délivre un rapport technique complet en 5 minutes, avec la confidentialité du fichier et du rapport garantie. Vérifiez sur le portail Haseen si votre organisation y est éligible.

Si votre site web ou votre application accepte des fichiers de clients

Le service protège l'employé qui ouvre un fichier à la main. Mais si votre site web, votre application ou votre système de recrutement accepte des fichiers de clients et de candidats, comme des CV, des photos de pièces d'identité, des factures et des pièces jointes de réclamations, personne ne va vérifier manuellement des centaines de fichiers. Ici, l'analyse doit faire partie du système lui-même : une liste définie de types de fichiers autorisés, une taille maximale, une analyse automatique avant l'enregistrement, et un stockage des fichiers téléversés tenu à l'écart du serveur principal de l'application.

C'est ce que nous examinons chez Origami lorsque nous construisons un nouveau système ou faisons évoluer un système existant. Si vous souhaitez que nous examinions la manière dont votre système accepte les fichiers aujourd'hui, contactez-nous.

Sources

• Autorité nationale de cybersécurité : le service Tahqaq permet aux utilisateurs de vérifier la fiabilité des fichiers et des codes QR, 7 octobre 2026
• Autorité nationale de cybersécurité : service Tahqaq, ses canaux et ce que chacun analyse (en arabe)
• Autorité nationale de cybersécurité : service Tahqaq (en anglais)
• Autorité nationale de cybersécurité : Tahqaq for Files (bêta)
• Autorité nationale de cybersécurité : Files Examination Services pour les organisations
• Autorité nationale de cybersécurité : la NCA lance le service Tahqaq
• Agence de presse saoudienne : la NCA lance un service de vérification des liens suspects, 29 décembre 2025
• Al-Jazirah : Tahqaq ajoute l'analyse des fichiers et des codes QR, 7 octobre 2026 (en arabe)
• Okaz : le service Tahqaq permet l'analyse des fichiers et des codes QR (en arabe)