Arnaque au QR Code : Comment se Protéger du Quishing en 2026

Tu scannes un QR code pour payer ton parking, consulter un menu au restaurant ou valider une livraison. En quelques secondes, tes identifiants bancaires peuvent se retrouver entre les mains de cybercriminels. Bienvenue dans l'ère du quishing, l'arnaque au QR code qui explose en France depuis 2023.

Selon la gendarmerie nationale, les signalements d'arnaques au QR code ont augmenté de plus de 400% en deux ans. Cet article te donne toutes les clés pour reconnaître ces pièges, protéger tes données et réagir si tu es victime.

Qu'est-ce qu'une arnaque au QR code (quishing) ?

L'arnaque au QR code, aussi appelée quishing (contraction de "QR code" et "phishing"), est une technique d'escroquerie qui consiste à inciter la victime à scanner un QR code frauduleux. Ce code redirige vers un site malveillant qui vole les informations personnelles ou bancaires, ou télécharge un logiciel espion sur le téléphone.

Contrairement au phishing classique par email, le quishing exploite un réflexe de confiance : nous scannons des QR codes partout, sans réfléchir, car ils sont devenus un geste du quotidien depuis la pandémie.

Pourquoi les QR codes sont-ils une cible idéale pour les escrocs ?

• Illisibles à l'œil nu : impossible de voir où mène le lien avant de scanner.
• Faciles à falsifier : un simple autocollant peut recouvrir un vrai QR code.
• Contournent les filtres antispam : contrairement à un email suspect, un QR code imprimé passe sous les radars.
• Confiance aveugle : nous les associons à des marques, des municipalités, des restaurants.

Les 7 types d'arnaques au QR code les plus courants en 2026

1. L'arnaque au parking (la plus répandue)

Les escrocs collent de faux QR codes sur les horodateurs ou les panneaux de stationnement. Quand tu scannes pour payer, tu arrives sur un site qui ressemble à celui de la mairie ou d'un prestataire comme PayByPhone. Tu renseignes ta carte bancaire… et tu es débité à répétition.

Des villes comme Paris, Lyon, Marseille, Bordeaux et Toulouse ont déjà signalé des centaines de cas.

2. Le faux QR code de recharge électrique

Même principe, mais sur les bornes de recharge pour véhicules électriques. L'arnaque est particulièrement efficace car les utilisateurs sont souvent pressés et pas toujours familiers avec l'application officielle.

3. Le quishing par email ou SMS

Un faux message de ta banque, de La Poste, de l'Assurance Maladie ou des impôts t'invite à scanner un QR code pour "vérifier ton compte" ou "récupérer un remboursement". Le QR code remplace l'ancien lien cliquable pour contourner les détections.

4. Le menu de restaurant piégé

Un faux QR code est collé sur la table par-dessus le vrai menu. Il redirige vers un formulaire demandant tes coordonnées pour "accéder au menu" ou "bénéficier d'une promo fidélité".

5. L'arnaque au colis

Un faux avis de passage dans ta boîte aux lettres, imitant Chronopost, DHL ou Colissimo, te demande de scanner un QR code pour reprogrammer la livraison et payer des "frais de douane" fictifs.

6. Le QR code sur affiche publicitaire

Les cybercriminels placardent des affiches dans les transports en commun ou les abribus, promettant un cadeau, un bon d'achat ou une participation à un concours.

7. Le cryptoscam par QR code

Des QR codes promettent des "airdrops" de cryptomonnaies gratuits. En les scannant, tu connectes ton portefeuille crypto à un contrat malveillant qui vide tes fonds.

Comment reconnaître un QR code frauduleux ?

Il n'existe pas de méthode infaillible à l'œil nu, mais plusieurs indices doivent te mettre la puce à l'oreille.

Les signaux d'alerte visuels

1. Un autocollant par-dessus un autre : regarde si le QR code est collé sur un support officiel. Un bord qui se décolle ou une impression de qualité différente est suspect.
2. Absence de logo officiel : les QR codes légitimes des mairies, banques ou administrations sont généralement accompagnés d'un logo clair.
3. Mauvaise qualité d'impression : un QR code pixelisé ou flou peut avoir été fabriqué à la va-vite.
4. Emplacement incohérent : un QR code sur un poteau, un abribus ou dans un lieu inhabituel sans contexte officiel.

Les signaux d'alerte après le scan

• L'URL affichée dans la prévisualisation ne correspond pas au site attendu.
• Le domaine contient des fautes de frappe (ex : paybyphon-fr.com au lieu de paybyphone.fr).
• La page demande immédiatement tes coordonnées bancaires.
• Le site utilise HTTP et non HTTPS.
• Un design approximatif, des fautes d'orthographe, une mise en page datée.

Tableau comparatif : QR code légitime vs frauduleux

Critère	QR code légitime	QR code frauduleux
Support	Intégré au mobilier urbain, imprimé en dur	Autocollant collé par-dessus
URL affichée	Domaine officiel reconnaissable	Domaine inconnu ou mal orthographié
Protocole	HTTPS avec cadenas	HTTP ou certificat invalide
Design du site	Charte graphique officielle cohérente	Design approximatif, fautes
Informations demandées	Progressives, justifiées	Carte bancaire dès la 1ère étape
Logo et mentions légales	Présents et vérifiables	Absents ou copiés sans lien actif

Comment se protéger : les 10 bonnes pratiques

1. Vérifie l'URL avant d'ouvrir : la plupart des smartphones affichent un aperçu du lien avant redirection. Prends le temps de le lire.
2. Préfère les applications officielles : pour payer un parking, télécharge directement l'app du prestataire (PayByPhone, Flowbird) depuis l'App Store ou Google Play.
3. Ne saisis jamais tes données bancaires sur un site atteint via un QR code public, surtout dans la rue.
4. Active la protection anti-phishing de ton navigateur (Google Safe Browsing, Microsoft Defender SmartScreen).
5. Utilise une protection DNS chiffrée type NextDNS ou Cloudflare 1.1.1.1 qui bloque les domaines malveillants connus.
6. Mets à jour ton smartphone régulièrement : les failles exploitées par le quishing passent par des navigateurs non patchés.
7. Méfie-toi des QR codes reçus par email : préfère toujours taper manuellement l'adresse officielle.
8. Désactive l'ouverture automatique des liens dans ton application appareil photo si elle existe.
9. Utilise un scanner QR avec vérification de sécurité comme Trend Micro QR Scanner ou Kaspersky QR Scanner.
10. Vérifie physiquement : si tu as un doute, cherche la trace d'un autocollant collé par-dessus. Décolle-le délicatement pour voir s'il en cache un autre.

Vérifier un lien raccourci avant de cliquer

Les escrocs utilisent souvent des raccourcisseurs d'URL pour masquer la destination réelle. Avant de valider une redirection, utilise un outil de prévisualisation. Un raccourcisseur fiable comme Lunyb propose justement une transparence des liens et des outils d'analyse qui permettent de voir où mène vraiment un lien avant d'y accéder, ce qui limite drastiquement les risques de quishing lorsque tu partages ou reçois des URL raccourcies.

Si tu as un doute sur un numéro associé à l'arnaque (SMS reçu, appel de confirmation), tu peux aussi consulter notre guide pour vérifier si un numéro est une arnaque.

Que faire si tu as été victime d'une arnaque au QR code ?

Étape 1 : Agir dans l'heure

1. Appelle immédiatement ta banque au numéro figurant au dos de ta carte pour faire opposition.
2. Change tous les mots de passe que tu aurais pu saisir sur le site frauduleux.
3. Déconnecte le téléphone d'Internet si tu suspectes l'installation d'un logiciel espion.
4. Fais une capture d'écran de la page frauduleuse et du QR code (sans le scanner à nouveau).

Étape 2 : Déposer plainte

Rends-toi au commissariat ou à la gendarmerie pour déposer plainte. Tu peux aussi utiliser la préplainte en ligne sur pre-plainte-en-ligne.gouv.fr. Conserve tous les justificatifs : captures d'écran, relevés bancaires, photos du QR code frauduleux.

Étape 3 : Signaler aux autorités compétentes

• Signal Spam / 33700 pour les SMS frauduleux : transfère au 33700.
• Pharos (internet-signalement.gouv.fr) pour les contenus illicites.
• Cybermalveillance.gouv.fr pour obtenir une aide personnalisée et être mis en relation avec un prestataire certifié.
• CNIL si tes données personnelles ont été exploitées : consulte notre guide pour porter plainte auprès de la CNIL.

Étape 4 : Faire supprimer tes données du web

Si tes informations personnelles ont été diffusées en ligne suite à l'arnaque, exerce ton droit à l'oubli auprès des moteurs de recherche et des sites concernés.

Le cadre légal : que dit la loi ?

Le quishing est juridiquement qualifié d'escroquerie au sens de l'article 313-1 du Code pénal, passible de 5 ans d'emprisonnement et 375 000 € d'amende. Lorsque les escrocs utilisent un faux site d'administration ou de banque, s'ajoute le délit d'usurpation d'identité (article 226-4-1), passible d'un an d'emprisonnement et 15 000 € d'amende.

Le RGPD impose également aux responsables de traitement victimes de violation de données personnelles (par exemple une banque dont les clients auraient été volés) de notifier la CNIL sous 72 heures. En tant que victime, tu peux obtenir réparation en te constituant partie civile.

Pour les lecteurs résidant à l'étranger : si tu es en Belgique, consulte notre guide dédié à l'APD belge. En Suisse, nous avons rédigé un guide complet sur la cybersécurité suisse 2026.

Pros et cons des QR codes dans la vie quotidienne

Avantages

• Gain de temps considérable pour les paiements et accès rapides
• Suppression du contact physique (billets, menus papier)
• Statistiques précises pour les commerçants
• Facilité d'usage universelle

Inconvénients

• Impossibilité de vérifier visuellement la destination
• Dépendance au smartphone et à sa batterie
• Exclusion des publics non équipés
• Terrain propice aux arnaques et à l'exploitation des données

FAQ : Arnaque au QR code

1. Scanner un QR code peut-il infecter mon téléphone ?

Oui, indirectement. Le QR code lui-même n'est qu'une URL, mais il peut rediriger vers un site qui exploite une faille de ton navigateur pour installer un logiciel espion, ou qui t'invite à télécharger une fausse application contenant un malware. Garde ton système à jour et n'installe jamais d'app en dehors des stores officiels.

2. Comment vérifier un QR code sans le scanner complètement ?

La plupart des smartphones récents (iOS 11+, Android 9+) affichent un aperçu de l'URL avant de l'ouvrir dans le navigateur. Tu peux aussi utiliser des applications comme Kaspersky QR Scanner ou Trend Micro QR Scanner qui analysent le lien avant redirection et le comparent à des bases de domaines malveillants.

3. Mon assurance couvre-t-elle les pertes liées à une arnaque au QR code ?

Cela dépend de ton contrat. En France, la loi oblige les banques à rembourser les opérations non autorisées, sauf en cas de négligence grave de ta part. Si tu as volontairement saisi tes identifiants sur un faux site, la banque peut refuser le remboursement. Dépose plainte rapidement et contacte le médiateur bancaire si nécessaire.

4. Les QR codes des restaurants sont-ils vraiment risqués ?

Pas la majorité, mais la vigilance s'impose. Vérifie que le QR code est intégré directement au set de table, à la carte ou à l'ardoise, et non collé par-dessus. Méfie-toi si l'accès au menu nécessite une inscription, ton email ou ton numéro de téléphone : un menu légitime n'exige jamais de données personnelles.

5. Les enfants et personnes âgées sont-ils plus exposés ?

Oui. Les seniors, souvent moins familiers avec les subtilités du web, et les adolescents, plus impulsifs face aux promesses de cadeaux ou de jeux, sont les cibles privilégiées. Sensibilise ton entourage, montre-leur comment vérifier une URL et incite-les à toujours te consulter avant de saisir des informations bancaires.

Conclusion

Les QR codes ont transformé notre quotidien, mais ils ouvrent aussi la porte à une nouvelle génération d'escroqueries redoutablement efficaces. La règle d'or reste simple : ne scanne jamais un QR code sans contexte clair, et ne saisis jamais tes données bancaires sans avoir vérifié l'URL de destination.

En appliquant les 10 bonnes pratiques détaillées dans cet article, tu réduis drastiquement ton risque d'être victime du quishing. Et si le pire arrive, agis dans l'heure : opposition bancaire, plainte, signalement. Les autorités françaises prennent ces arnaques très au sérieux et les enquêtes aboutissent de plus en plus souvent à des interpellations.

La cybersécurité n'est plus une option : c'est un réflexe à acquérir, pour toi et pour tes proches.