Le QR code piégé (quishing)
Nouvelle Un faux QR code, collé sur un horodateur ou une borne de recharge, ou imprimé sur un faux avis, vous envoie vers un faux site de paiement ou de connexion.
| Par où elle arrive | QR code, Courrier, E-mail, En personne |
|---|---|
| Qui est visé | Tout le monde |
| Ce que vous risquez | Coordonnées bancaires, Perdre de l’argent, Un compte piraté, Un appareil infecté |
| Aussi appelée | quishing, faux QR code horodateur, QR code frauduleux, hameçonnage par QR code |
Le « quishing » est un hameçonnage par QR code. Comme on ne peut pas lire l’adresse cachée derrière un QR code, il est facile de tromper quelqu’un. Les escrocs collent un autocollant avec leur propre QR code sur un horodateur ou une borne de recharge, glissent un faux avis de passage dans les boîtes aux lettres, ou laissent un faux avis de contravention sur un pare-brise.
En scannant, vous arrivez sur un faux site de paiement qui récupère votre carte bancaire, ou sur une fausse page de connexion qui vole vos identifiants. Le QR code peut aussi pousser à installer une application malveillante. Cybermalveillance.gouv.fr décrit ces attaques comme encore marginales, mais réelles. Ne payez jamais une amende avec un QR code laissé sur votre voiture : passez par les sites officiels.
Comment ça se passe
- Les escrocs collent un faux QR code sur un horodateur, une borne de recharge ou une affiche, ou l’impriment sur un faux courrier.
- Vous scannez le code pour payer, suivre un colis ou régler une amende.
- Le code ouvre un faux site qui imite le service de paiement ou de connexion.
- Vous saisissez votre carte bancaire ou vos identifiants.
- Les escrocs débitent votre carte, piratent votre compte, et le service n’est jamais rendu.
À quoi ça ressemble
- Autocollant posé par-dessus l’affichage d’origine
- L’adresse affichée après le scan n’est pas celle du service de la ville ou de l’application officielle
- Un vrai avis ne se paie pas via un QR code laissé sur la voiture
- Délai court et menace de majoration
- Les amendes se paient sur amendes.gouv.fr
Exemple rédigé par IP73 sur le modèle des messages signalés ; le lien et le numéro sont fictifs.
Les signes qui doivent alerter
- Le QR code est un autocollant collé par-dessus un autre ou mal aligné.
- L’adresse qui s’affiche après le scan ne correspond pas au service attendu.
- Un papier sur votre voiture vous demande de payer par QR code.
- Un avis de passage inattendu dans votre boîte vous fait scanner un code pour payer.
- On vous demande de vous connecter ou de payer juste après le scan.
- Un e-mail vous demande de scanner un code pour « confirmer » votre compte.
Comment vous protéger
- Avant de scanner, vérifiez que le QR code n’est pas collé sur un autre.
- Après le scan, lisez l’adresse du site avant de l’ouvrir. Au moindre doute, n’ouvrez pas.
- Pour le stationnement, payez directement à l’horodateur ou dans l’application officielle de votre ville.
- Pour une amende, tapez vous-même amendes.gouv.fr.
- Pour un colis, vérifiez le suivi sur le site du transporteur.
- Signalez un faux QR code sur un horodateur à la mairie ou à la police municipale.
Vous êtes victime ?
Tout de suite
- Faites opposition sur votre carte auprès de votre banque ou au 0 892 705 705.
- Si vous avez saisi un mot de passe, changez-le tout de suite et partout où vous l’utilisez.
- Si une application a été installée, désinstallez-la et faites un diagnostic de votre téléphone.
Ensuite
- Prenez une photo du QR code et notez l’adresse du faux site.
- Signalez les débits frauduleux sur Perceval et demandez le remboursement à votre banque.
- Portez plainte au commissariat, à la gendarmerie ou en ligne si de l’argent a été pris.
- Signalez le faux site sur internet-signalement.gouv.fr ou Phishing Initiative.
- Prévenez la mairie ou l’exploitant de l’horodateur ou de la borne.
Vos droits
Pour un paiement par carte non autorisé, la banque doit en principe rembourser (articles L133-18 et L133-19 du Code monétaire et financier), sauf « négligence grave » qu’elle doit prouver (article L133-23). Si vous avez validé le paiement vous-même sur le faux site, la banque peut le contester ; les juges décident au cas par cas. Si elle invoque une « négligence grave », elle doit quand même rembourser d’abord, puis la prouver pour vous réclamer la perte (Cour de justice de l’Union européenne, 15 octobre 2026, C-70/25).
Qui contacter
Bloque immédiatement votre carte bancaire (perte, vol, fraude). Vous recevez un numéro d’enregistrement qui date votre opposition : gardez-le.
0 892 705 705 (numéro majoré : coût d’un appel vers un fixe + service payant) service-public.gouv.fr/particuliers/vosdroits/F31324 ↗
Bloque la carte, les accès en ligne et les virements, enregistre la contestation des opérations, et peut demander le retour des fonds d’un virement.
Le numéro figurant au dos de votre carte, dans votre appli ou sur le site officiel de votre banque (jamais un numéro donné dans un SMS ou un appel reçu)
Démarche en ligne sur Service-Public.fr pour signaler des achats en ligne faits avec votre carte sans votre accord. Le signalement est traité par la Gendarmerie nationale ; vous recevez un récépissé à transmettre à votre banque.
Dépôt de plainte sur place (police ou gendarmerie de votre choix), par courrier au procureur de la République, ou par visioplainte pour certaines infractions. Les services sont obligés d’enregistrer votre plainte.
17 ou 112 en cas d’urgence service-public.gouv.fr/particuliers/vosdroits/F1435 ↗
Téléservice du ministère de l’Intérieur pour déposer plainte ou faire un signalement en ligne pour une e-escroquerie. Après validation, vous êtes informé des suites, des aides possibles et de l’arrestation éventuelle de l’auteur.
Plateforme du ministère de l’Intérieur pour signaler les contenus illicites publics sur internet : mise en danger des personnes, terrorisme, menaces, pédocriminalité, haine, traite des êtres humains, trafics, cruauté envers les animaux, escroquerie en ligne.
Service où chacun peut signaler l’adresse d’un site d’hameçonnage francophone. Après vérification par le CERT Orange Cyberdefense, l’adresse est bloquée dans les navigateurs partenaires.
Assistance en ligne pour toutes les victimes de cybermalveillance : un diagnostic en quelques questions, des conseils adaptés, la mise en relation avec un prestataire informatique et, si la menace le justifie, un échange par tchat avec un policier ou un gendarme. Ce n’est pas un dépôt de plainte.
Arnaques du même type
Sources
- Le « quishing » : l’hameçonnage par QR code — Cybermalveillance.gouv.fr (2026-08-10)
- Cyberattaques : comment déjouer phishing, QR codes et SMS frauduleux — Ma Sécurité (Ministère de l’Intérieur) (2026-07-28)
- Beware of fraudulent text messages, emails and websites! — ANTAI (2024-10-18)
Fiche vérifiée le 8 novembre 2026.
Ce guide informe ; il ne remplace ni les services officiels ni un avocat. En cas d’urgence ou de danger, appelez le 17.
Sources : services publics (Cybermalveillance.gouv.fr, CERT-FR, DGCCRF, AMF, police, gendarmerie…) et références internationales, citées sur chaque fiche. Les exemples de messages sont rédigés par nos soins à partir des alertes officielles : ils ne reprennent aucun vrai numéro ni lien. Guide revu chaque semaine (notre méthode). Dernière mise à jour : 8 novembre 2026. Données en JSON (CC BY 4.0).