Fin 2024, la préfecture de police de Paris et les services de police alertaient : des autocollants avec de faux QR code étaient collés sur les parcmètres de Paris et de Lyon, redirigeant les automobilistes vers des pages de paiement clonées qui vidaient leur compte en quelques secondes. Le phishing par QR code (« quishing ») est l’une des catégories de phishing qui ont le plus progressé entre 2024 et 2026, avec une hausse marquée des signalements sur Pharos.
Pourquoi les attaquants adorent les QR code :
- Les filtres de messagerie ne les voient pas — les passerelles traitent les QR code comme des images, et l’URL cachée passe l’anti-spam.
- Le vrai et le faux sont identiques — pas de logo, pas d’aperçu avant scan, pas de « survol pour vérifier ».
- Vous scannez par réflexe — vous avez appris à scanner sans réfléchir.
Le QR code a été conçu pour simplifier la vie, et les escrocs excellent à transformer cette simplicité en piège. Les deux scénarios qui suivent, vous les avez déjà croisés.
Premier scénario : la fausse carte de restaurant
Vous entrez dans un restaurant, et sur la table un autocollant indique : « Scannez pour voir la carte ». Vous scannez sans réfléchir — mais ce geste vient peut-être d’envoyer votre argent à un escroc. Les attaquants ciblent les établissements à fort trafic et ticket moyen (un repas à 25-45 €) : le montant par victime reste faible, et rares sont ceux qui contestent un petit écart.
Les 5 différences entre un vrai code et un faux :
| Détail | Vrai code | Faux code |
|---|---|---|
| Impression | Bords nets, plastifié | Flou, crénelé, autocollants superposés |
| Emplacement | Coin de la table, dos de la carte, comptoir | Centre de la table, accoudoir, mur latéral |
| Quantité | Un seul code par table | Plusieurs codes empilés (le vrai en dessous) |
| Bénéficiaire | « Restaurant X SARL » ou la marque officielle | « Compte personnel », pseudo bizarre, prénom + chiffres |
| Lien de redirection | Lien court de marque (ex. e.opentable.com) | Domaine imité (lydia-paiement-xyz.top), avec tirets |
Vérification 30 secondes en 3 étapes :
- Regardez l’impression — bulles ou traces d’arrachement ? Un vrai code est plastifié ; le faux, un bout de papier scotché.
- Regardez l’emplacement — pile au centre, en recouvrant un autre code ? Les faux adorent l’endroit le plus visible.
- Regardez le bénéficiaire — tapez le nom complet du restaurant dans un moteur de recherche et comparez.
Si un point cloche, interpellez le serveur : « Vous pouvez me redonner le QR code du menu ? ». Un établissement sérieux ne bronchera pas ; si l’on vous répond « ne vous inquiétez pas, scannez », c’est le signal d’alarme.
Deuxième scénario : fausses bornes de recharge et parcmètres
La borne de recharge et le parcmètre sont le deuxième piège — ils vous attrapent à vos moments les plus vulnérables : batterie faible, pressé, tête baissée.
3 escroqueries sur les bornes de recharge :
- Caution gonflée — la caution passe de 1 € à 5 €, l’argent est débité avant que vous réagissiez.
- Page de phishing — on vous demande votre mot de passe bancaire ou un code SMS pour « activer » le service.
- Abus de la permission Bluetooth — pop-ups, lecture du presse-papiers, et sur les anciens Android, attaques en arrière-plan.
2 escroqueries sur les parcmètres :
- Autocollant collé par-dessus le code officiel — le vrai code figure sur une petite plaque ; le faux, plus grand et centré, attire l’œil.
- Page de « régularisation de forfait de post-stationnement » — imitation d’un portail municipal : plaque, carte bancaire et code SMS, avec un message « Votre véhicule a été inscrit au registre des impayés ».
La règle d’action : un QR code de borne ou de parcmètre ne se scanne que dans deux cas :
- Le code est physiquement intégré à l’appareil — imprimé sur le boîtier ou gravé dans l’écran.
- Vous l’avez ouvert depuis l’application officielle (ex. bouton « Scanner pour recharger »).
Autocollants, flyers, chevalets isolés : on ne scanne pas. Les 30 secondes à ouvrir l’application officielle coûtent moins cher que les 3 heures à contester la dépense ensuite.
Le moyen mnémotechnique universel : 3 regards, 3 interdits
Des deux scénarios précédents, on peut tirer une formule facile à retenir. Passez-la en 30 secondes, elle filtrera 90 % des pièges.
Les 3 regards :
- Regardez la source — qui l’a posé ? Commerçant ? Organisme officiel ? Inconnu ? Vérifiable par téléphone, site ou application ?
- Regardez l’impression — floue ? Fraîchement collée ? Traces d’arrachement ? Endroit incongru ?
- Regardez la redirection — lien court de marque ou URL bizarre ? Le domaine correspond-il au service ? Paramètres superflus (
?redirect=...,?from=...) ?
Les 3 interdits :
- Ne saisissez pas de mot de passe sur des pages inconnues — toute page « activer », « vérifier » ou « payer des arriérés » qui demande un mot de passe est une arnaque. Aucun service sérieux ne vous demande de « revérifier » votre mot de passe sur une page au hasard.
- N’installez pas d’applications d’origine douteuse — si le scan dit « téléchargez l’application pour voir », c’est un piège à 99 %. Cherchez d’abord l’éditeur.
- N’accordez pas la permission Accessibilité — sur Android, l’une des permissions les plus dangereuses : l’escroc peut lire votre écran, simuler des clics et agir à votre place.
Aide-mémoire (à mettre en capture d’écran) :
| Si vous voyez… | Faites ceci tout de suite… |
|---|---|
| QR code flou, fraîchement collé ou placé bizarrement | Ne scannez pas. Demandez à un membre du personnel. |
| Bénéficiaire dont le nom ne correspond pas au commerce | Ne payez pas. Vérifiez le nom complet. |
Redirection vers un domaine bizarre (.top, .xyz, charabia) | Fermez. Ne tapez rien. |
| « Saisir mot de passe / installer appli / accorder permission » | Fermez. Signalez le lien. |
| Pop-up demandant un code SMS | Arnaque à 100 %. Ne lisez jamais le code à voix haute. |
| Page « Votre compte est verrouillé, contactez XX » | Faites une capture pour preuve, puis fermez. |
La dernière ligne mérite d’être répétée : toute personne ou page qui vous demande de « lire votre code SMS à 6 chiffres » est un escroc. Ce code est la clé numérique de vos comptes.
Outil : utilisez Piick pour décoder les QR code suspects
Si un QR code vient d’un inconnu, d’un autocollant ou d’un endroit suspect, n’ouvrez pas l’appareil photo de votre téléphone — la plupart des applications ouvrent automatiquement le navigateur dès qu’elles détectent une URL.
Un réflexe plus sûr : utilisez le Lecteur de QR Code de Piick dans le navigateur. Téléversez une image ou prenez une photo ; le traitement est entièrement local (l’image ne quitte jamais votre appareil), sans ouverture automatique, sans redirection, sans téléchargement. Vous voyez l’URL complète, le texte ou les identifiants WiFi avant de décider.
Vous avez déjà scanné ? Plan de sauvetage en 4 étapes
Si vous avez déjà scanné le code et saisi quelques informations, pas de panique — la première heure est la fenêtre d’or.
- Coupez le réseau immédiatement — désactivez le WiFi et les données mobiles. Si l’attaquant a déjà un canal de contrôle (comme la permission Accessibilité), fermer l’application ne suffit pas.
- Changez les mots de passe — en priorité l’application bancaire, Lydia et PayLib (les rails d’argent). Puis la messagerie, les réseaux sociaux et tout compte qui partageait le même mot de passe.
- Vérifiez les relevés et contestez — ouvrez l’application bancaire, Lydia et PayLib, parcourez les dernières 24 heures, et contactez le support pour geler toute opération suspecte.
- Signalez — en cas de perte financière, appelez le 17 (police). Pour les contenus en ligne, signalez sur internet-signalement.gouv.fr (Pharos). Pour les SMS frauduleux, transférez-les au 33700.
L’ordre compte : couper le réseau > changer les mots de passe > vérifier les relevés > signaler. D’abord on stoppe l’attaque, ensuite on endigue les dégâts, puis on mesure la perte, enfin on saisit la justice.
Mot de la fin
Les QR code sont là pour durer, et les escrocs aussi. Souvenez-vous : une seconde de pause, un coup d’œil, une question posée. Une seconde de pause, c’est s’accorder les « 30 secondes avant de scanner ». Un coup d’œil, c’est vérifier si le QR code présente des signes suspects. Une question posée, c’est confirmer avec le commerçant ou la plateforme. Les QR code ne périment pas, mais votre argent peut s’évaporer en quelques secondes.
Partagez ce billet à vos proches âgés — ils sont la population la plus exposée au quishing. Une victime plus jeune sait couper le réseau et changer ses mots de passe ; un parent âgé a souvent pour premier réflexe « n’en parlons pas aux enfants », et ne réalise l’arnaque que lorsque l’escroc revient (en se faisant passer pour un « policier » et en exigeant un virement pour « débloquer »). Partager ce post dans le groupe familial sera peut-être le meilleur investissement de temps de votre année.