Arnaque au QR Code : Comment se Protéger du Quishing en 2026

Tu scannes un QR code sur une borne de parking, dans un restaurant ou sur une affiche dans la rue sans trop y réfléchir ? Tu n'es pas seul. Depuis la pandémie, les QR codes sont partout, et les cybercriminels l'ont bien compris. L'arnaque au QR code, aussi appelée quishing (contraction de QR et phishing), explose en France et dans le monde entier.

Dans ce guide, on va voir concrètement comment ces arnaques fonctionnent, comment les repérer avant qu'il ne soit trop tard, et surtout comment protéger tes données personnelles et bancaires face à cette menace de plus en plus sophistiquée.

Qu'est-ce qu'une arnaque au QR code ?

Une arnaque au QR code est une technique de fraude où un cybercriminel utilise un code QR malveillant pour rediriger la victime vers un site frauduleux, télécharger un logiciel espion ou voler des informations personnelles. Le quishing est l'une des formes les plus récentes et les plus efficaces de phishing moderne.

Contrairement à un lien classique dans un email, un QR code ne montre pas sa destination à l'œil nu. Tu scannes, tu arrives sur une page, et tu n'as aucun moyen de vérifier à l'avance où tu vas atterrir. C'est précisément cette opacité qui fait le succès de l'arnaque.

Selon la CNIL et plusieurs rapports de cybersécurité publiés en 2025, les signalements de quishing ont augmenté de plus de 400 % en un an en France, avec des pertes financières qui se chiffrent en millions d'euros.

Comment fonctionne le quishing concrètement ?

Le mode opératoire des escrocs est souvent le même, avec quelques variantes selon le contexte. Voici le déroulé type d'une arnaque au QR code :

1. Création d'un faux QR code qui pointe vers un site frauduleux (clone d'un vrai service).
2. Placement stratégique du code : collé sur une borne de parking, imprimé sur un faux PV, envoyé par email ou SMS, placardé sur une affiche publique.
3. Scan par la victime qui ne se méfie pas et pense interagir avec un service légitime.
4. Redirection vers un site piégé qui ressemble à s'y méprendre à un site officiel (banque, impôts, livreur, mairie).
5. Collecte des données : identifiants, numéro de carte bancaire, code à usage unique reçu par SMS.
6. Exploitation immédiate : prélèvements frauduleux, usurpation d'identité, revente des données sur le dark web.

Le piège est redoutable car tout se passe en quelques secondes et sur ton smartphone, un appareil que tu considères souvent (à tort) comme sûr.

Les 7 arnaques au QR code les plus répandues en France

1. Le faux QR code de stationnement

C'est l'arnaque star de 2024-2025. Des escrocs collent des autocollants avec de faux QR codes par-dessus les codes légitimes des horodateurs. Tu scannes, tu arrives sur un site qui ressemble à PayByPhone ou Flowbird, tu renseignes ta carte bancaire… et tu te fais vider ton compte.

2. Le faux PV sur ton pare-brise

Un papier qui ressemble à un avis de contravention est glissé sous ton essuie-glace, avec un QR code pour "payer rapidement avec réduction". En réalité, aucune amende n'existe, et le site capture tes identifiants bancaires.

3. Le QR code dans les restaurants

Depuis le COVID, consulter le menu via QR code est devenu banal. Certains escrocs remplacent le code sur la table par un code malveillant qui demande inscription, email, mot de passe, voire paiement anticipé.

4. Le faux colis de livraison

Un avis de passage avec un QR code pour "reprogrammer la livraison" ou "payer des frais de douane". Variante moderne du phishing par SMS classique, mais encore plus efficace.

5. Le QR code des bornes de recharge électrique

Avec l'essor des véhicules électriques, les faux QR codes sur les bornes de recharge se multiplient. Tu paies, mais rien ne se passe, et ta carte est compromise.

6. L'email avec QR code (quishing par email)

Un email pro reçu au travail te demande de scanner un QR code pour vérifier ton compte Microsoft, ta boîte mail ou activer la double authentification. Cette technique contourne les filtres anti-phishing qui analysent les liens textuels.

7. Les affiches publicitaires piratées

Dans les gares, aéroports ou arrêts de bus, des stickers sont collés sur de vraies affiches pour inciter à scanner un code "promotionnel" qui mène à une arnaque.

Comment reconnaître un QR code frauduleux

Repérer un QR code malveillant n'est pas évident, mais certains signes doivent t'alerter immédiatement :

• Autocollant visible collé par-dessus un autre code (très courant sur horodateurs et bornes).
• Qualité d'impression médiocre ou code légèrement décalé par rapport au support officiel.
• Contexte suspect : code dans un email non sollicité, sur un papier anonyme, dans un lieu inhabituel.
• Urgence artificielle : "payez dans les 24h pour éviter des pénalités".
• Absence de logo officiel ou logo pixelisé après le scan.
• Demande d'informations sensibles immédiate (carte bancaire, mot de passe).

Comparatif : QR code légitime vs QR code frauduleux

Critère	QR code légitime	QR code frauduleux
Support	Imprimé directement, intégré au design	Autocollant collé par-dessus
URL affichée au scan	Domaine officiel reconnaissable	Domaine étrange, raccourci, fautes d'orthographe
Protocole	HTTPS avec cadenas valide	HTTP ou certificat douteux
Demandes	Progressive, étapes claires	Carte bancaire exigée immédiatement
Design du site	Charte graphique cohérente	Clone imparfait, images floues
Pression temporelle	Aucune ou minimale	Urgence, menaces, pénalités

10 règles d'or pour te protéger du quishing

1. Vérifie l'URL après scan avant de cliquer. La plupart des smartphones affichent l'adresse en aperçu.
2. Observe le support physique : y a-t-il un autocollant par-dessus l'original ?
3. Préfère les apps officielles pour le stationnement, la banque, les livraisons.
4. Ne scanne jamais un QR code reçu par email non sollicité, même s'il semble venir de ton employeur.
5. Désactive l'ouverture automatique des liens après scan dans les paramètres de ton appareil photo.
6. Utilise un navigateur sécurisé qui bloque les sites malveillants connus. Notre comparatif des meilleurs navigateurs respectueux de la vie privée peut t'aider à choisir.
7. Active la double authentification partout où c'est possible, et stocke tes codes en sécurité.
8. Ne saisis jamais ta carte bancaire sur un site atteint via QR code sans vérifier le domaine trois fois.
9. Utilise des mots de passe uniques par service. Consulte notre guide essentiel sur la sécurité des mots de passe.
10. Signale les codes suspects aux autorités (voir section ci-dessous).

Les outils pour vérifier un QR code avant de cliquer

Plusieurs méthodes permettent d'inspecter un QR code sans tomber dans le piège :

• Scanners avec aperçu d'URL : des apps comme Kaspersky QR Scanner ou Trend Micro QR Scanner affichent l'adresse avant d'ouvrir le site.
• Services d'analyse d'URL : VirusTotal ou URLVoid permettent de coller une adresse pour vérifier sa réputation.
• Raccourcisseurs avec statistiques : utiliser un service comme Lunyb pour tes propres QR codes te permet de voir en temps réel qui scanne, d'où, et de désactiver un lien en cas de problème. C'est aussi un bon moyen de vérifier des liens raccourcis douteux reçus de tiers.
• Mode lecture seule : scanner le code en mode avion peut parfois t'aider à voir l'URL sans charger la page.

Que faire si tu es victime d'une arnaque au QR code ?

Si tu as scanné un QR code frauduleux et saisi des informations sensibles, chaque minute compte. Voici les étapes à suivre immédiatement :

1. Fais opposition à ta carte bancaire en appelant ta banque ou le 0 892 705 705 (numéro interbancaire).
2. Change tes mots de passe concernés, en particulier email, banque et services critiques.
3. Active la surveillance de compte auprès de ta banque pour détecter toute opération suspecte.
4. Signale l'arnaque sur cybermalveillance.gouv.fr, Pharos et au 17 Cyber (service de police dédié).
5. Dépose plainte au commissariat ou en ligne, même si le préjudice semble faible.
6. Scanne ton smartphone avec un antivirus mobile reconnu, au cas où une application malveillante aurait été installée.
7. Préviens la CNIL si des données personnelles sensibles ont été exposées.

Pour mieux comprendre les mécaniques de fraude en ligne, lis notre article dédié : Phishing : Comment reconnaître une arnaque en 2026.

Quishing en entreprise : une menace sous-estimée

Les entreprises sont des cibles privilégiées. Un email avec QR code arrive dans la boîte d'un salarié, il le scanne avec son smartphone personnel (qui échappe aux filtres de sécurité de l'entreprise), et ses identifiants professionnels sont captés.

Pour les RSSI et DPO, quelques recommandations :

• Former régulièrement les équipes au quishing avec des exemples concrets.
• Déployer des solutions MDM capables de détecter des URL malveillantes sur mobiles.
• Interdire la saisie d'identifiants professionnels sur un appareil atteint via un QR code non vérifié.
• Mettre en place une politique de signalement rapide des emails suspects.
• Documenter les incidents conformément au RGPD en cas de fuite de données.

Cadre légal et recours en France

L'arnaque au QR code est juridiquement considérée comme une escroquerie (article 313-1 du Code pénal) et peut s'accompagner d'infractions supplémentaires : accès frauduleux à un système de traitement automatisé de données (article 323-1), usurpation d'identité (226-4-1), ou collecte frauduleuse de données personnelles (sanctionnée par le RGPD et la CNIL).

Les peines encourues par les escrocs vont jusqu'à 5 ans d'emprisonnement et 375 000 € d'amende, voire plus en cas de bande organisée. En tant que victime, tu as droit à un recours civil pour obtenir réparation, et ta banque est en principe tenue de rembourser les opérations non autorisées (sauf négligence grave caractérisée).

Pour aller plus loin sur la protection de tes données personnelles au quotidien, consulte notre guide complet pour protéger ta vie privée en ligne en 2026.

Vérifier une image ou une affiche suspecte

Tu as vu une affiche douteuse avec un QR code dans un lieu public et tu veux savoir si elle est officielle ? Une recherche d'image inversée peut t'aider à identifier si le visuel a été repris sans autorisation d'une campagne légitime, ou s'il s'agit d'un détournement.

FAQ : Arnaque au QR code

Est-ce qu'un simple scan de QR code peut infecter mon téléphone ?

En soi, scanner un QR code ouvre juste une URL. Mais cette URL peut mener à un site qui exploite une faille de ton navigateur, te demande d'installer une app malveillante, ou te pousse à saisir des données sensibles. Donc oui, indirectement, un scan peut compromettre ton appareil si tu interagis avec le site de destination.

Comment savoir si un QR code sur un horodateur est faux ?

Vérifie physiquement : est-ce un autocollant collé par-dessus un autre ? Regarde si le logo correspond bien à l'opérateur affiché sur la machine. En cas de doute, utilise directement l'app officielle de stationnement de ta ville plutôt que le QR code.

Ma banque va-t-elle me rembourser si je suis victime d'un quishing ?

En principe oui, pour les opérations non autorisées. La directive européenne DSP2 oblige les banques à rembourser sauf en cas de négligence grave du client (par exemple si tu as communiqué volontairement ton code à usage unique). Fais opposition rapidement et dépose plainte, c'est essentiel.

Les QR codes dans les restaurants sont-ils dangereux ?

Les QR codes imprimés directement sur le menu ou intégrés au design sont généralement sûrs. Méfie-toi des autocollants collés sur la table, surtout s'ils demandent une inscription complète ou un paiement avant même de voir le menu. Un simple menu PDF ne devrait jamais exiger ta carte bancaire.

Existe-t-il un scanner QR code 100 % sécurisé ?

Aucun scanner n'offre une sécurité absolue, mais certains comme Kaspersky QR Scanner, Trend Micro QR Scanner ou les scanners intégrés aux suites de sécurité mobile analysent l'URL avant ouverture et bloquent les sites malveillants connus. C'est un bon complément, mais ta vigilance reste la meilleure défense.

En résumé

Le quishing est une menace discrète, en forte croissance, et redoutablement efficace parce qu'elle exploite un geste devenu banal : scanner un code. La bonne nouvelle, c'est qu'avec un peu de vigilance et quelques réflexes simples, tu peux considérablement réduire ton risque d'être victime.

Vérifie toujours l'URL après un scan, méfie-toi des autocollants suspects, privilégie les applications officielles, et ne saisis jamais tes données bancaires sans être absolument certain du site. Si le doute persiste, mieux vaut ne pas scanner que de risquer ton compte en banque ou ton identité numérique.