QR Code : L’arnaque invisible qui vide votre compte en banque

Par la rédaction de XY Magazine

Au restaurant pour consulter la carte, sur un parcmètre pour payer votre stationnement, ou à une borne de recharge pour alimenter votre véhicule électrique : les QR code est devenu le roi de nos interactions estivales. Mais en ce mois de juillet 2026, au cœur des départs en vacances, ce petit carré de pixels noirs et blancs s’est transformé en l’une des armes de cyberextorsion les plus redoutables de l’année.

Son nom ? Le Quishing (la contraction de QR Code et Phishing). En coulisses, des réseaux criminels industrialisent le piratage physique de l’espace public pour dépouiller les touristes. XY Magazine décrypte ce piège indétectable à l’œil nu et vous donne le guide de survie pour protéger votre compte bancaire.

Une étude de Microsoft montre que sur le premier quarter 2026 les attaques sont passées de 7 millions à 18 millions et les tentatives de phishing par mail avec QR code de 1 million à 5 millions (graph ci dessous)

L’arnaque du « sticker miroir »

Contrairement à un piratage informatique classique qui s’attaque aux serveurs d’une entreprise, le quishing utilise une méthode d’ingénierie sociale d’une simplicité enfantine, mais redoutable d’efficacité.

[ QR Code légitime du restaurant ] 
               │
   ( Les escrocs collent par-dessus )
               ▼
[ Autocollant malveillant ] ──> [ Scan du smartphone ] ──> [ Faux site de paiement ]

Le QR code que vous scanner est un leurre qui vous dirige vers un site malveillant et va vous faire réaliser un paiement à un tiers. C’est vous seul qui commettez l’erreur. L’arnaqueur à juste à coller ses faux QR codes partout.

Le repérage physique

Les escrocs ciblent des lieux à fort passage et à faible surveillance : les terrasses de café bondées, les horodateurs municipaux, ou les stations de charge en libre-service. tous les services de confiance pour lesquels vous savez que vous allez devoir payer.

Le masquage

Les pirates génèrent un QR code malveillant et l’impriment sur un petit rouleau d’autocollants transparents de haute qualité. Ils viennent ensuite coller manuellement leur sticker exactement par-dessus le QR code légitime de l’établissement ou de la borne de paiement.

Le clonage d’interface

Lorsque vous scannez ce code avec l’appareil photo de votre smartphone, vous n’êtes pas redirigé vers le site officiel, mais vers une copie conforme (un site miroir). L’interface affiche le logo de la ville pour le stationnement, ou la charte graphique exacte du restaurant. Pensant régler votre note de 15 € ou votre place de parking, vous entrez vos coordonnées bancaires ou validez un accès Apple Pay / Google Pay. À l’autre bout du fil, l’escroc récupère vos jetons d’authentification et vide votre compte en quelques minutes.

Pourquoi l’arnaque explose cet été

Le quishing fait des ravages pour une raison psychologique simple : nous faisons naturellement confiance au support physique. Un internaute a appris à se méfier d’un e-mail suspect ou d’un SMS inconnu. En revanche, face à une borne de recharge ou une table de restaurant bien réelle, son niveau de vigilance baisse drastiquement. Pour l’utilisateur, l’objet physique valide la sécurité du lien numérique. Un angle mort que les cybercriminels exploitent au maximum.

Le piratage des parcmètres ou des menus de restaurant (le Quishing par sticker) n’est que la face émergée de l’iceberg. Les cybercriminels ont compris que le QR code est le cheval de Troie parfait pour s’introduire dans nos smartphones.

Trois autres illustration du mode opératoires des escrocs avec les QR codes.

L’arnaque à la “Fausse Amende” sur le pare-brise

C’est une variante particulièrement perverse qui touche de nombreuses municipalités françaises.

• Le mode opératoire : Vous retrouvez sur votre pare-brise un avis d’infraction qui ressemble en tout point à un véritable avis de contravention (mots d’ordre juridiques, logos officiels de la République Française ou de l’ANTAI). Le papier cartonné comporte un QR code avec la mention : “Payez votre amende minorée en ligne sous 48h pour éviter les poursuites”.
• Le piège : Pris de panique à l’idée de payer plus cher, l’automobiliste scanne le code. Il arrive sur une réplique parfaite du site de l’ANTAI (l’Agence nationale de traitement automatisé des infractions). Non seulement la victime se fait voler ses coordonnées bancaires, mais elle donne également son numéro de permis de conduire et son adresse (des données en or pour l’usurpation d’identité).
• La parade : En France, l’ANTAI n’envoie jamais d’amendes physiques à scanner directement sur le pare-brise. Les vrais avis de verbalisation arrivent toujours par courrier postal ou par e-mail sécurisé via le site officiel antai.gouv.fr.

Le “Reverse Quishing” : L’arnaque au faux paiement de l’acheteur

Cette technique cible directement les millions de Français qui vendent des objets d’occasion sur des plateformes comme Leboncoin ou Vinted.

• Le mode opératoire : Vous vendez un meuble ou un vêtement. Un acheteur se montre très intéressé et vous propose de vous payer immédiatement via une application populaire (Paylib, Lydia ou PayPal). Il vous envoie par SMS ou via la messagerie de l’application un QR code en vous disant : “Scannez ce code pour recevoir directement l’argent sur votre compte”.
• Le piège : C’est une inversion des rôles. Ce QR code n’est pas un ordre de crédit, mais un ordre de débit ou un lien vers une fausse page d’authentification bancaire. En le scannant et en validant sur votre application bancaire, vous n’encaissez pas de l’argent : vous autorisez un virement vers le compte de l’escroc.
• La parade : On n’a jamais besoin de scanner un QR code pour recevoir un paiement. Un simple numéro de téléphone ou une adresse e-mail suffit pour recevoir de l’argent via les applications sécurisées.

Le piratage des avis de passage de colis (La fausse livraison)

Face à la méfiance grandissante vis-à-vis des SMS frauduleux (comme les arnaques de faux colis Chronopost), les escrocs sont repassés au papier dans les boîtes aux lettres.

• Le mode opératoire : Vous trouvez un papier jaune ou blanc dans votre boîte aux lettres qui imite un avis de passage de La Poste, de DHL ou d’Amazon. Il y est écrit : “Votre colis n’a pu être livré. Pour planifier une nouvelle livraison à domicile, scannez ce QR code sous 24 heures”.
• Le piège : Le code renvoie vers un faux site de transporteur. On vous demande d’entrer vos coordonnées et de payer “des frais de reprogrammation” minimes (souvent entre 0,49 € et 1,95 €). Ce petit paiement sert d’hameçon pour enregistrer votre carte bancaire et déclencher, quelques jours plus tard, des abonnements cachés de plusieurs dizaines d’euros par mois ou des achats frauduleux.
• La parade : Les vrais transporteurs laissent des avis de passage comportant un numéro de colis clair. Il faut aller soi-même sur le site officiel du transporteur et taper manuellement le numéro de suivi pour vérifier le statut de la livraison.

Comment déjouer le piège ?

Pour éviter que vos vacances ne virent au cauchemar financier, trois réflexes élémentaires doivent être adoptés dès aujourd’hui :

Pratiquez le « test du toucher »

Avant de dégainer votre smartphone et de scanner un QR code dans l’espace public, passez simplement votre doigt sur le support. Sentez-vous une surépaisseur ? S’agit-il d’un autocollant collé à la va-vite par-dessus le panneau d’origine ? Si le QR code bouge ou se décolle, ne le scannez sous aucun prétexte et prévenez le personnel de l’établissement ou la mairie. Si c’est un restaurant demandez aux employés si c’est le bon code.

Analysez l’URL avant de cliquer

Lorsque l’appareil photo de votre smartphone (iOS ou Android) détecte un QR code, il affiche un petit encadré jaune ou une notification indiquant l’adresse web (l’URL) de destination. Ne cliquez pas machinalement. Prenez deux secondes pour lire l’adresse. Si vous êtes censé payer un stationnement à Paris et que l’URL se termine par un domaine étrange (ex: .ru, .cc, .xyz) ou contient des fautes d’orthographe dans le nom de la marque (ex: pariis-stationnement.com), fuyez.

Utilisez une application de scan sécurisée

L’application photo native de votre téléphone ouvre les liens de manière aveugle. Pour vos déplacements, téléchargez une application de scan intégrant un filtre de sécurité. Des outils gratuits conçus par des laboratoires de cybersécurité reconnus (comme Kaspersky QR Scanner ou Trend Micro Check) analysent la réputation du lien en temps réel et bloquent instantanément l’affichage si le site de destination est répertorié comme frauduleux ou malveillant. C’est le système le plus sur.

Conclusion : Restez connectés, restez protégés

Le QR code reste un outil formidable de praticité au quotidien, mais l’espace public n’est plus une zone de confiance absolue. Cet été, le mot d’ordre est la vérification.