Vous vous garez en centre-ville. L'horodateur affiche un autocollant propre, bien centré, avec un logo municipal crédible et cette mention devenue banale : « Payez votre stationnement sans monnaie — scannez ». Vous sortez votre téléphone, vous scannez, un formulaire s'ouvre, vous entrez votre plaque et votre carte bancaire. Trente secondes, aucune application à installer. C'est exactement le geste que les villes vous encouragent à faire depuis des années.
Sauf que l'autocollant a été collé la nuit précédente par-dessus le vrai.
Aucun lien affiché, aucune faute d'orthographe, aucun ton alarmiste. Le quishing — contraction de QR code et phishing — n'a rien à voir avec le SMS de menace auquel on a appris à résister. Il ne vous met pas sous pression : il vous rend service. Et un lecteur qui se sent aidé ne se sent pas en danger.
Pourquoi le QR code est devenu l'angle mort de la vigilance
Depuis dix ans, toute l'éducation du public contre l'hameçonnage repose sur une compétence unique : lire une adresse. Repérer le tiret de trop, le .xyz au lieu du .fr, le nom de banque suivi d'un mot parasite. Cybermalveillance.gouv.fr, l'ANSSI ou les services bancaires martèlent le même conseil depuis des années : vérifiez le lien avant de cliquer.
Le QR code annule cette compétence d'un coup. Un carré de pixels noirs ne dit rien. Il ne se survole pas, il ne se lit pas, il ne se compare pas. Il se scanne — c'est-à-dire qu'on lui fait confiance par avance.
Trois facteurs aggravent la situation :
- La banalisation post-2020. Menus de restaurants, billetteries, bornes de recharge, notices de meubles, étiquettes de produits : le geste de scanner est devenu réflexe, sans le moindre soupçon associé.
- La rupture de contexte. Le SMS frauduleux arrive dans un flux (votre messagerie) où d'autres messages servent de repère. Le QR code, lui, est physique : il emprunte la crédibilité du support sur lequel il est collé. Un autocollant sur un mobilier urbain officiel paraît officiel.
- Le basculement d'écran. Vous scannez souvent le code affiché sur un support extérieur avec un téléphone tenu à bout de bras, en pleine lumière, pressé. C'est le pire contexte possible pour lire attentivement une barre d'adresse tronquée.
Le smishing classique n'a pas disparu — les vagues de faux SMS bancaires ou administratives recensées ces derniers mois par la presse régionale le montrent. Mais le QR code offre aux escrocs quelque chose que le SMS ne leur donne plus : l'absence totale de filtre. Aucun opérateur ne peut analyser un autocollant.
Où on les trouve concrètement en France
Les signalements remontés aux associations de consommateurs et aux collectivités dessinent une géographie assez stable.
| Support détourné | Prétexte affiché | Ce que l'escroc récupère |
|---|---|---|
| Horodateur, parking souterrain | Paiement du stationnement | Carte bancaire, plaque, identité |
| Borne de recharge électrique | Démarrage de la session de charge | Carte bancaire, création de compte |
| Vélos et trottinettes en libre-service | Déblocage rapide du véhicule | Coordonnées bancaires |
| Affiche de covoiturage / petite annonce | Contact du vendeur | Identifiants d'une plateforme |
| Courrier papier « officiel » | Régularisation d'un dossier, remboursement | Données personnelles complètes |
| Colis reçu avec un flyer « cadeau » | Évaluation en échange d'un bon d'achat | Compte marchand, abonnement caché |
| Terrasse de café, table de restaurant | Menu ou paiement de l'addition | Carte bancaire |
Deux variantes méritent une attention particulière.
Le faux courrier administratif. Recevoir une lettre papier reste, pour beaucoup, un gage de sérieux. Des campagnes imitant des organismes publics — assurance maladie, caisses de retraite, administration fiscale — remplacent désormais l'adresse web par un QR code, précisément parce qu'un QR code se contrefait plus facilement qu'un site institutionnel ne se vérifie. Rappelons le principe rappelé par Ameli : l'Assurance Maladie ne demande jamais de coordonnées bancaires par message ou par courrier non sollicité pour « débloquer » un remboursement.
Le « brushing » avec flyer. Vous recevez un petit colis que vous n'avez pas commandé, avec une carte proposant un cadeau contre un avis. Le QR code mène à un formulaire qui collecte bien plus que nécessaire.
Ce qui se passe vraiment après le scan
Contrairement à une idée reçue tenace, scanner un QR code ne « pirate » pas un téléphone. Le code ne contient qu'une donnée : le plus souvent une adresse web, parfois un numéro à appeler, un réseau Wi-Fi, un texte, ou une commande de paiement. Le danger vient de ce que vous faites ensuite.
Trois scénarios dominent :
- La page de collecte. Une copie très fidèle d'un site de paiement. Vous saisissez votre carte, elle part directement chez l'escroc — ou, plus vicieux, elle sert à valider un abonnement récurrent de quelques euros par semaine, montant volontairement bas pour passer sous votre seuil d'attention sur le relevé.
- Le déclenchement d'appel. Le code encode un numéro surtaxé ; l'appareil propose d'appeler, et une seconde d'inattention suffit. C'est la mécanique du wangiri transposée au support physique.
- L'installation hors magasin officiel. Une page vous invite à installer une « application de stationnement » via un fichier téléchargé directement. Sur Android, accepter une installation depuis une source inconnue ouvre la porte à un logiciel capable d'intercepter vos SMS — donc vos codes de validation bancaire.
Le troisième cas est le plus grave, parce qu'il transforme un vol ponctuel en accès durable. C'est aussi le seul qui exige plusieurs confirmations explicites de votre part : autant de moments où vous pouvez encore dire non.
Une règle simple à retenir : un QR code légitime ne vous demande jamais d'installer quoi que ce soit en dehors de l'App Store ou du Play Store. Jamais.
Les six réflexes qui suffisent à passer à travers
1. Toucher avant de scanner
Le geste le plus efficace ne coûte rien : passez le doigt sur le QR code. Un autocollant collé par-dessus se sent — bord légèrement décollé, épaisseur, brillance différente du support, angle mal aligné, logo pixellisé. Sur un horodateur ou une borne, regardez aussi si le code recouvre partiellement une information (numéro de série, mention légale). Un opérateur officiel ne masque jamais ses propres inscriptions.
2. Lire l'adresse avant d'ouvrir
Tous les téléphones récents affichent l'URL en aperçu avant d'ouvrir la page. Prenez les deux secondes nécessaires. Ce qui compte, c'est le mot juste avant le premier / : c'est le vrai domaine. paiement.ville-de-lyon.fr/parking est plausible ; ville-de-lyon.paiement-securise-fr.co/parking ne l'est pas du tout, même s'il commence bien.
Si vous lisez difficilement l'écran en extérieur, en plein soleil ou avec des lunettes progressives, ce n'est pas un détail de confort : c'est un facteur de risque. Un film antireflet pour smartphone améliore franchement la lisibilité en pleine lumière et, indirectement, votre capacité à vérifier une adresse avant de cliquer.
3. Refuser le raccourci quand une alternative existe
Il existe presque toujours un chemin non piégeable :
- pour le stationnement, l'application officielle de la ville installée depuis le magasin d'applications, ou tout simplement la monnaie et la carte insérée dans l'horodateur ;
- pour un organisme public, la saisie manuelle de l'adresse connue (ameli.fr, impots.gouv.fr, agirc-arrco.fr) dans le navigateur ;
- pour une banque, l'application déjà installée, jamais un lien reçu.
Le principe est constant : ne suivez jamais un chemin qu'on vous a tendu ; empruntez celui que vous connaissez déjà.
4. Cloisonner le paiement
Beaucoup de fraudes au QR code ne rapportent rien parce que la carte utilisée est vide. C'est le rôle des cartes virtuelles à usage unique proposées par la plupart des banques françaises, ou d'une carte prépayée rechargeable réservée aux paiements de terrain — stationnement, recharge, achats en mobilité. Le plafond limite mécaniquement les dégâts, et un abonnement caché ne peut pas prélever ce qui n'existe pas.
5. Verrouiller l'appareil en amont
Deux réglages, une fois pour toutes :
- sur Android, laisser désactivée l'autorisation d'installer des applications depuis des sources inconnues (Paramètres → Applications → Accès spécial) ;
- sur iPhone comme sur Android, activer la protection contre les sites frauduleux dans les réglages du navigateur.
Pour les personnes qui manipulent leur téléphone dehors, souvent avec les mains prises, une coque avec porte-carte intégré évite de sortir simultanément le téléphone et le portefeuille sur un trottoir — le contexte typique où l'on scanne vite et mal.
6. Signaler, systématiquement
Un autocollant frauduleux reste en place tant que personne ne le retire. Trois gestes utiles :
- décoller le faux QR code s'il s'agit visiblement d'un ajout, ou le photographier ;
- prévenir l'exploitant : mairie, service de stationnement, opérateur de la borne, gérant du commerce ;
- signaler la page sur la plateforme Cybermalveillance.gouv.fr, et le SMS associé au 33700 lorsqu'un message a précédé ou suivi le scan.
En cas de paiement effectué, faites opposition immédiatement, puis déposez plainte. La directive européenne sur les services de paiement (DSP2) transposée en droit français encadre le remboursement des opérations non autorisées : votre banque doit rembourser une opération que vous n'avez pas autorisée, sauf à démontrer une négligence grave de votre part. D'où l'importance de conserver les preuves — photo de l'autocollant, capture de la page, horodatage.
Le cas particulier des personnes âgées et des publics fragiles
Le quishing frappe particulièrement les personnes qui ont adopté le smartphone tardivement. Elles ont souvent intégré une consigne simplifiée — « ne clique pas sur les liens » — sans que le QR code entre dans cette catégorie mentale. Pour beaucoup, scanner n'est pas cliquer.
Quelques mesures d'accompagnement qui fonctionnent :
- reformuler la consigne en termes de destination et non de support : « on ne paie jamais depuis un code affiché dehors, on paie depuis une application qu'on a installée soi-même » ;
- installer ensemble les deux ou trois applications réellement utiles (stationnement, transport, banque) pour supprimer le besoin de scanner quoi que ce soit ;
- augmenter la taille de la police et le contraste pour rendre l'aperçu d'adresse lisible ;
- pour un parent très réticent à la technologie, assumer un usage minimal : un téléphone senior à grosses touches sans navigateur ferme la porte à l'intégralité de ces attaques, ce qui reste une option parfaitement légitime.
Un ouvrage de vulgarisation sur la cybersécurité, laissé sur la table basse, fait souvent plus d'effet qu'une explication orale de dix minutes : la lecture à son rythme évite le sentiment d'infantilisation qui bloque tant de conversations familiales sur le sujet.
Ce qui distingue un QR code légitime d'un piège
| Signal | Légitime | Suspect |
|---|---|---|
| Support | Imprimé dans la masse, gravé, intégré au mobilier | Autocollant rapporté, superposé |
| Domaine affiché | Nom de l'organisme avant le premier / | Nom de l'organisme en sous-domaine ou avec tiret |
| Demande | Montant, plaque, session | Carte + pièce d'identité + numéro fiscal |
| Installation | Renvoi vers l'App Store / Play Store | Téléchargement direct d'un fichier |
| Urgence | Aucune | Compteur, « offre valable 15 minutes » |
| Alternative | Paiement classique disponible | Le QR code est présenté comme le seul moyen |
Le dernier critère est probablement le plus révélateur. Une institution ne supprime jamais tous les autres canaux. Quand un support vous explique que le scan est la seule voie possible, c'est qu'on cherche à vous empêcher de vérifier ailleurs.
Le fond du problème n'est pas technique
Le quishing ne repose sur aucune prouesse informatique. Il repose sur une habitude collective installée en quelques années : celle de faire confiance à un support physique parce qu'il est là, visible, dans l'espace public. Nous avons appris à nous méfier de ce qui arrive sur notre écran sans être sollicité — SMS, courriels, appels — mais pas de ce qui est collé sur une borne dans la rue.
La bonne nouvelle, c'est que la parade demande moins d'effort que pour le SMS frauduleux. Un lien reçu par message doit être analysé mentalement en une seconde. Un QR code, lui, se touche du doigt. Le test le plus fiable contre cette arnaque de 2026 est aussi le plus ancien du monde : vérifier avec la main si quelque chose a été collé par-dessus autre chose.
Et si vous devez prévenir un proche rapidement d'une arnaque repérée dans votre quartier, un message court et clair reste l'outil le plus efficace — bien plus qu'un long message vocal ou qu'une capture d'écran illisible. Une phrase, un lieu, un conseil. C'est souvent tout ce qui manquait pour éviter le scan de trop.
