Le QR code s’est imposé dans notre quotidien : menu de restaurant, paiement du stationnement, billet de concert. Cette simplicité attire aussi les escrocs, qui détournent ces petits carrés noir et blanc pour voler des données bancaires. On appelle cette technique le quishing, une contraction de « QR code » et de « phishing ». Voici comment continuer à utiliser au quotidien, sans tomber dans le piège.
Qu’est-ce que le quishing, cette arnaque au QR code ?
Le quishing est une arnaque par hameçonnage qui utilise un QR code piégé à la place d’un lien classique. L’escroc colle ou envoie un faux code. Votre téléphone scanne l’image et vous redirige vers un site frauduleux qui imite un service officiel, sans que vous ne voyiez jamais l’adresse réelle avant de cliquer.
Cette technique séduit les cybercriminels pour une raison précise. Un lien texte peut éveiller les soupçons dans un e-mail. Un QR code, lui, cache sa destination derrière une image, ce qui trompe autant les filtres de sécurité que les utilisateurs.
Le dispositif public cybermalveillance.gouv.fr suit cette menace depuis 2023 et alerte régulièrement sur sa progression en France.
Comment fonctionne une arnaque au QR code ?
Une arnaque au QR code fonctionne en trois temps : l’escroc crée un faux code, le diffuse sur un support crédible, puis récupère les données saisies par la victime sur la fausse page qui s’affiche. Le scénario change selon le canal utilisé.
Un faux code collé sur un support physique
Sur un horodateur, une borne de recharge électrique ou un pare-brise, l’escroc colle son propre autocollant par-dessus le QR code légitime. Vous pensez régler votre stationnement ou lancer une recharge, mais vous atterrissez sur une copie du site officiel.
Ce montage a déjà été observé sur des parcmètres à Marseille et dans plusieurs villes françaises, ainsi que sur de faux avis de contravention glissés sous les essuie-glaces. Le faux site réclame alors vos coordonnées bancaires pour un montant volontairement modeste, afin de ne pas éveiller les soupçons.
Un code piégé envoyé par e-mail ou SMS
L’escroc insère un QR code directement dans un e-mail professionnel, un faux avis de livraison ou une facture. Ce format contourne une partie des filtres antispam, car ces derniers analysent surtout le texte et les liens, pas le contenu d’une image.
Une étude NordVPN citée par plusieurs médias indique que 41 % des Français ne vérifient jamais un QR code avant de le scanner. Cette absence de réflexe explique en grande partie l’efficacité du quishing auprès du grand public.
Quels signes doivent vous alerter avant de scanner un QR code ?
Un support abîmé, un autocollant qui dépasse, une urgence artificielle ou une demande immédiate de coordonnées bancaires doivent vous alerter. Ces signes reviennent dans la majorité des arnaques recensées par les autorités françaises.
- Un autocollant légèrement décollé ou positionné de travers sur le QR code d’origine.
- Un message qui impose un paiement sous 24 ou 48 heures, sous peine de majoration.
- Des fautes d’orthographe ou une mise en page approximative sur le support ou le site.
- Une administration qui vous demande de scanner un code pour payer une amende (l’administration française n’utilise jamais ce procédé).
- Une URL qui ressemble au site officiel, mais avec un détail qui cloche (un tiret, une extension différente).
Comment scanner un QR code en toute sécurité ?
Pour scanner un QR code en toute sécurité, vérifiez d’abord l’état physique du support, contrôlez ensuite l’URL affichée avant d’ouvrir la page, et privilégiez enfin une application de confiance pour la lecture du code.
Vérifiez l’aspect du support avant de scanner
Regardez le QR code de près avant de le scanner. Un autocollant ajouté par-dessus le code d’origine, une texture différente ou des bords irréguliers sont des indices simples à repérer en quelques secondes.
Contrôlez l’URL avant de continuer
La plupart des applications photo affichent l’adresse du site avant d’ouvrir le navigateur. Prenez ce court instant pour lire l’URL en entier, plutôt que de cliquer par réflexe. Un domaine légèrement modifié, comme « antai-gouv-contrav.com » à la place de « antai.gouv.fr », doit vous faire fermer la page immédiatement.
Privilégiez un scanner QR code fiable
Un bon scanner de QR code affiche systématiquement l’URL de destination avant l’ouverture, sans redirection automatique. C’est le principe retenu par des outils comme QRNow, une plateforme qui permet aussi de créer et de gérer ses propres QR codes de manière traçable, un point utile si vous êtes commerçant ou restaurateur et que vous affichez vos propres codes en vitrine.
Un antivirus à jour sur votre smartphone reste également une protection utile en complément, à condition d’éviter certaines erreurs courantes. Notre guide sur les erreurs qui réduisent la protection d’un antivirus détaille ces pièges à éviter.
Si vous voulez vous amuser à aller sur rotek.fr, voici ce qu’on génère en 3 secondes avec QRNow :
Les usages légitimes du QR code au quotidien
Le QR code reste un outil pratique et sûr dans la grande majorité des cas : menu de restaurant, billet de train, carte de fidélité ou paiement sans contact chez un commerçant connu. Le risque ne vient pas de la technologie elle-même, mais de l’endroit où le code est affiché.
Dans un environnement de confiance (billetterie officielle, application bancaire, borne d’un magasin que vous connaissez), le QR code accélère simplement une démarche que vous auriez faite autrement. La prudence s’applique surtout aux codes affichés dans l’espace public, sur un support facilement accessible à n’importe qui.
Les entreprises qui souhaitent renforcer la confiance de leurs clients ont aussi intérêt à sécuriser leurs propres codes. Le Cyber Resilience Act, entré en application le 11 septembre 2026, impose d’ailleurs de nouvelles obligations de signalement aux entreprises confrontées à des failles de sécurité, un cadre qui concerne indirectement les outils numériques liés au paiement et à l’identification par QR code.
Que faire si vous avez scanné un QR code frauduleux ?
Si vous avez déjà saisi vos coordonnées bancaires sur un faux site, contactez votre banque sans attendre pour faire opposition à votre carte. Chaque minute compte pour limiter les prélèvements frauduleux.
- Faites opposition à votre carte bancaire auprès de votre banque, par téléphone ou via son application.
- Signalez l’escroquerie sur la plateforme Perceval si des données bancaires ont été utilisées.
- Déposez plainte au commissariat ou à la gendarmerie pour escroquerie.
- Changez vos mots de passe si le faux site demandait des identifiants plutôt qu’une carte bancaire.
- Conservez une capture d’écran du QR code et du site frauduleux, utile pour votre dossier.
L’article L133-18 du code monétaire et financier oblige votre banque à vous rembourser les opérations frauduleuses non autorisées, à condition de signaler les faits rapidement et de ne pas avoir fait preuve de négligence grave.
Questions fréquentes
Non, il ne contient pas de virus en lui-même, il encode une simple adresse web. Le danger vient du site vers lequel il redirige, qui peut ensuite proposer le téléchargement d’une application malveillante.
Un vrai avis de contravention français ne comporte jamais de QR code ni de demande de paiement immédiat. Vérifiez toujours l’authenticité d’un avis sur amendes.gouv.fr avant tout règlement.
Lorsqu’il est affiché à l’intérieur d’un restaurant que vous avez choisi est généralement fiable, car il est contrôlé par l’établissement. Restez attentif si le code se trouve à l’extérieur, sur un support facilement accessible au public.
