Arnaques au QR code : comment les repérer et s’en protéger

Un autocollant sur l’horodateur, un faux avis de contravention glissé sous l’essuie-glace, un menu à scanner à table, un petit papier dans la boîte aux lettres qui annonce un colis non livré. Ce sont tous des QR codes, et c’est précisément ce qui en fait un outil idéal pour les escrocs : on ne lit pas l’adresse vers laquelle ils mènent, et on les scanne presque par réflexe. Dans ce guide, nous voyons comment repérer une arnaque au QR code, le fameux quishing, dans les cas les plus courants (stationnement, faux PV, restaurants et colis) et ce qu’il faut faire tout de suite si vous avez déjà payé ou saisi vos informations.

Qu’est-ce que le quishing et pourquoi ça marche si bien

Le quishing, c’est du phishing (hameçonnage) réalisé avec un QR code. Au lieu d’un lien dans un SMS ou un e-mail, l’escroc vous fait scanner un code qui ouvre une fausse page : un formulaire de paiement, une page de connexion à votre banque, un site qui réclame les données de votre carte.

Cela fonctionne pour trois raisons :

• Vous ne voyez pas où vous allez : un QR code n’est qu’un carré de petits points, l’adresse n’apparaît qu’après le scan, et souvent pour quelques secondes seulement.
• Le contexte paraît officiel : un autocollant sur un horodateur ou une feuille portant le blason de la mairie inspirent confiance.
• On utilise son téléphone : sur un petit écran, il est plus difficile de vérifier l’adresse, et de nombreux filtres anti-hameçonnage des messageries professionnelles ne lisent pas les images.

Stationnement et horodateurs : l’autocollant collé sur le vrai

C’est l’arnaque la plus répandue. L’escroc colle un autocollant avec un faux QR code par-dessus l’original de l’horodateur, ou juste à côté avec la mention « payez avec votre smartphone ». La page qui s’ouvre ressemble à celle d’une application de stationnement et demande la plaque d’immatriculation, la durée et les données de la carte bancaire. Le paiement part chez l’escroc et, dans bien des cas, la carte est utilisée aussitôt après pour d’autres achats.

Comment vous protéger :

• Touchez le QR code du doigt : si vous sentez le bord d’un autocollant, s’il est de travers ou recouvert par un autre, ne l’utilisez pas.
• Payez avec l’application officielle que vous avez déjà installée, ou avec des pièces ou votre carte directement à l’horodateur.
• Méfiez-vous des pages qui demandent de télécharger une application « pour finaliser le paiement » ou qui réclament des informations inutiles, comme le code secret de la carte.

Faux PV avec QR code : le papier sous l’essuie-glace

Autre variante : le faux avis de contravention laissé sur le pare-brise. Le papier imite un procès-verbal, annonce une amende minorée « si vous payez sous 24 heures » et vous invite à scanner le QR code pour régler. L’urgence et la promesse de réduction sont l’appât.

Souvenez-vous qu’une vraie amende comporte des références précises (numéro d’avis, autorité émettrice, infraction relevée) et se vérifie de façon indépendante. Ne payez jamais via le code imprimé sur le papier : cherchez vous-même le site officiel de la mairie ou de l’organisme censé l’avoir émise et vérifiez de là si l’amende existe. Si le papier est un faux, conservez-le : il sera utile pour le signalement.

Restaurants, bars et commerces : menu et paiement à table

De nombreux établissements utilisent des QR codes pour le menu ou pour régler l’addition à table. Les escrocs peuvent remplacer le chevalet ou recouvrir le code d’un autocollant, pour mener à une page de paiement clonée. Dans d’autres cas, le QR code ouvre un faux questionnaire « de satisfaction » qui promet un bon de réduction en échange de vos données personnelles.

• Un menu ne doit jamais demander les données de votre carte ni vos identifiants : si c’est le cas, fermez la page.
• Pour payer, demandez au personnel le terminal de paiement ou réglez l’addition en caisse.
• Si quelque chose vous semble anormal, prévenez le responsable : il ignore probablement que son QR code a été trafiqué.

Colis et transporteurs : avis de passage et courriers avec QR code

Le classique SMS du « colis en attente » arrive désormais aussi sur papier : un avis laissé dans la boîte aux lettres ou sur la porte, avec un QR code pour « reprogrammer la livraison » ou « payer les frais de douane ». Parfois, le code se trouve directement dans un e-mail, sous forme d’image, pour contourner les filtres anti-spam.

Dans tous ces cas, la règle est la même que pour les sites et SMS frauduleux du Black Friday : ne suivez pas le lien ou le code reçu, ouvrez vous-même l’application ou le site officiel du transporteur et saisissez le numéro de suivi à la main. Un transporteur ne demande jamais les données complètes de votre carte pour quelques euros de frais de douane via un QR code.

Comment repérer un QR code frauduleux : 7 vérifications rapides

1. Observez le support : autocollants superposés, bords relevés, impressions délavées ou de travers sont autant de signaux d’alerte.
2. Lisez l’aperçu de l’adresse : presque tous les appareils photo affichent l’adresse avant de l’ouvrir. Arrêtez-vous et lisez-la calmement.
3. Vérifiez le nom de domaine : lettres permutées, mots en trop, tirets, extensions inhabituelles ou adresses raccourcies sont suspects.
4. Méfiez-vous de l’urgence : « payez sous 24 heures », « dernier avis », « réduction si vous payez maintenant » sont des formules typiques des arnaques.
5. Aucun téléchargement : un QR code qui vous demande d’installer une application ou un profil sur votre téléphone doit être ignoré.
6. Données demandées : code secret, codes reçus par SMS, mot de passe bancaire ne se saisissent jamais sur une page ouverte via un QR code.
7. Si vous avez une alternative, utilisez-la : application officielle, site saisi à la main, paiement en caisse. Le QR code est pratique, pas obligatoire.

Si votre téléphone se comporte bizarrement après un scan (fenêtres publicitaires, batterie qui se vide vite, applications que vous ne vous souvenez pas d’avoir installées), lisez notre guide pour savoir si votre téléphone est espionné ou piraté.

Que faire si vous avez déjà payé ou saisi vos données

1. Faites opposition à votre carte immédiatement depuis l’application de votre banque ou en appelant le numéro dédié, et demandez la contestation du débit.
2. Changez vos mots de passe si vous avez saisi des identifiants, en commençant par ceux de la banque et de la messagerie, et activez la validation en deux étapes.
3. Surveillez vos opérations les jours suivants : les escrocs effectuent souvent d’abord un petit débit de test.
4. Prenez une photo du QR code, de l’autocollant ou du papier, et conservez l’adresse de la page ainsi que les justificatifs : ils serviront pour le dépôt de plainte.
5. Signalez l’arnaque sur Cybermalveillance.gouv.fr et le 17Cyber, ainsi que par un dépôt de plainte auprès de la police ou de la gendarmerie, et prévenez la mairie ou le gestionnaire du parking ou de l’établissement, afin qu’ils puissent retirer le faux code.

Questions fréquentes sur les arnaques au QR code

Suffit-il de scanner un QR code pour se faire arnaquer ?

En général, non : le scan ouvre seulement une page. Le préjudice survient lorsque vous saisissez des données, payez ou installez quelque chose. C’est pourquoi le bon moment pour s’arrêter, c’est juste après le scan, avant de toucher le moindre bouton.

Les applications de lecture de QR code sont-elles fiables ?

L’appareil photo intégré au téléphone est généralement le meilleur choix, car il affiche l’aperçu de l’adresse. Évitez les applications tierces peu connues qui demandent de nombreuses autorisations.

Une amende avec QR code peut-elle être authentique ?

Certains organismes utilisent des QR codes sur leurs documents de paiement, mais une vraie amende peut toujours être vérifiée de façon indépendante sur le site officiel de l’organisme. En cas de doute, ne payez pas via le code et vérifiez d’abord.

En résumé

Le QR code n’est pas dangereux en soi, mais il cache l’adresse vers laquelle il mène. Avant de le scanner, regardez s’il s’agit d’un autocollant posé par-dessus un autre ; après le scan, lisez l’adresse ; et pour payer, privilégiez toujours l’application officielle ou le paiement en caisse. Si vous avez déjà saisi vos données, faites opposition à votre carte, changez vos mots de passe et signalez l’arnaque sans attendre : réagir vite limite les dégâts.