Faux QR code : les réflexes avant de scanner puis de payer

Le QR code rend le piège moins visible

Cybermalveillance.gouv.fr a publié le 28 mai 2024, puis mis à jour le 6 novembre 2025, une alerte sur le quishing. Le mot désigne une forme d'hameçonnage par QR code. Le principe est simple : au lieu de vous montrer un lien écrit, l'escroc le cache dans une image à scanner. Vous voyez un carré noir et blanc. Votre téléphone voit une adresse web.

Cette différence change beaucoup de choses. Quand un lien est écrit en clair dans un SMS ou dans un mail, vous pouvez parfois repérer un domaine étrange. Avec un QR code collé sur une affiche, sur un courrier ou sur un parcmètre, le lien reste invisible jusqu'au scan. Le geste semble banal, rapide et moderne. C'est justement ce confort que l'arnaque exploite.

Ce n'est pas votre faute si un QR code paraît légitime. Les codes sont partout : restaurants, parkings, colis, bornes, formulaires, promotions. L'objectif de cet article est donc très pratique : vous donner une méthode courte avant de scanner, puis les bons réflexes si vous avez déjà payé ou donné une information.

Ce que les autorités ont déjà observé

Cybermalveillance.gouv.fr cite plusieurs exemples apparus dans l'actualité nationale de l'hameçonnage en 2023 : faux avis de contravention reçus au domicile ou laissés sur des pare-brise, faux avis de passage de La Poste déposés dans des boîtes aux lettres, QR codes frauduleux collés sur des parcmètres ou sur des bornes de recharge de véhicules électriques, et faux QR codes de confirmation de connexion Office365.

Le point important est le suivant : l'autorité ne dit pas que chaque QR code est dangereux. Elle précise au contraire que la menace reste relativement mineure, mais réelle. Cette nuance compte. Il ne s'agit pas d'avoir peur de tous les codes. Il s'agit de traiter un QR code comme un lien, avec les mêmes vérifications qu'avant un paiement ou une connexion.

Le risque le plus courant est la redirection vers un faux site. Ce faux site peut demander une carte bancaire, un mot de passe, une adresse mail, un numéro de téléphone ou une pièce jointe. Dans certains cas, le QR code peut aussi pousser au téléchargement d'une application ou d'un fichier. Là encore, le danger ne vient pas du carré lui-même. Il vient de la page ouverte après le scan.

Pourquoi ce piège fonctionne si bien

Un QR code donne une impression d'automatisme. On scanne, la page s'ouvre, puis on suit les étapes. Ce parcours laisse peu de temps pour réfléchir. L'escroc cherche à supprimer la pause qui permet normalement de se demander : qui me demande cela, sur quel site suis-je, et pourquoi maintenant ?

Le piège fonctionne aussi parce qu'il est souvent placé dans un contexte crédible. Un papier sur un pare-brise ressemble à un avis de stationnement. Un autocollant sur une borne de paiement ressemble à une mise à jour du service. Un faux avis de passage dans une boîte aux lettres ressemble à un courrier de livraison. Le décor donne de la confiance au code.

Enfin, le QR code masque l'adresse. Cybermalveillance.gouv.fr rappelle, dans sa fiche sur l'hameçonnage mise à jour le 7 mai 2026, qu'il faut vérifier l'adresse du site affichée dans le navigateur. Un seul caractère peut changer dans l'adresse d'un site et suffire à tromper. Avec un QR code, cette vérification arrive plus tard. Il faut donc la rendre obligatoire avant toute saisie d'information.

La méthode Stop Arnaque en 3 minutes

Avant de scanner, commencez par regarder le support physique. Le QR code est-il imprimé dans le document, ou collé par-dessus ? Un autocollant ajouté sur une affiche, une borne ou un panneau doit déclencher une pause. Ce n'est pas une preuve d'arnaque, mais c'est un signal utile. Un escroc peut remplacer un code officiel par le sien sans modifier le reste du support.

Après le scan, ne validez rien tout de suite. Lisez l'adresse complète dans le navigateur. Cherchez le nom de domaine réel, pas seulement les mots visibles dans la page. Pour une administration française, SignalConso rappelle que les sites officiels doivent se terminer par gouv.fr ou, pour certaines collectivités, par .fr. Des formes comme gouv.com, gouv.org ou un nom contenant -gouv ne prouvent rien.

Troisième étape : quittez la page si elle demande un paiement urgent, un mot de passe ou votre carte bancaire sans que vous puissiez vérifier l'origine. Ouvrez vous-même le site officiel depuis votre navigateur, votre favori ou une recherche prudente. Si le paiement est réel, vous devez pouvoir le retrouver sans passer par le QR code.

Les signaux qui doivent vous faire douter

Un seul signal ne suffit pas toujours. Plusieurs signaux ensemble justifient de fermer la page. Gardez cette liste comme une grille de lecture, surtout si le message parle d'amende, de colis, de recharge, de facture ou de compte bloqué.

• Le QR code est collé sur un support public, une borne, une affiche ou un document qui semble déjà imprimé.
• L'adresse ouverte ne correspond pas exactement au service annoncé. Un mot officiel dans l'adresse ne suffit pas.
• La page pousse à payer vite, avec une menace de majoration, de blocage ou de frais immédiats.
• Le site demande une carte bancaire pour un remboursement, une vérification d'identité ou une confirmation de dossier.
• Le logo paraît officiel, mais les mentions légales sont absentes, floues ou situées à l'étranger.
• Le code arrive dans un mail ou un SMS inattendu, surtout si le message vous demande de scanner avec un autre appareil.
• Le paiement ne peut pas être retrouvé en allant directement sur le site officiel du service.

Ne confondez pas cadenas et sécurité

Le cadenas du navigateur signifie surtout que la connexion entre votre appareil et le site est chiffrée. Il ne prouve pas que le site est honnête. Un faux site peut lui aussi avoir une connexion chiffrée. Cette idée fausse piège beaucoup de personnes, car le cadenas donne une impression de validation officielle.

Regardez plutôt l'adresse. Le domaine est la partie décisive. Dans une adresse comme exemple.gouv.fr, le domaine principal est gouv.fr. Dans une adresse comme gouv-fr-paiement.example.com, le domaine principal est example.com. Les mots placés avant ou après peuvent être choisis pour vous rassurer. Ils ne donnent pas le contrôle du site officiel.

Regardez aussi les informations demandées. Un site de paiement légitime doit expliquer ce que vous payez, à qui vous payez, et comment retrouver l'opération autrement. Pour un achat en ligne, SignalConso rappelle que le consommateur peut signaler un faux site de vente, un produit non conforme, un retard de livraison ou une arnaque en ligne. Mais l'idéal reste de repérer le problème avant de saisir la carte.

Si vous avez déjà scanné sans payer

Si vous avez seulement ouvert la page, fermez-la. Ne remplissez pas le formulaire pour tester. Ne téléchargez pas l'application proposée. Ne créez pas de compte. Faites une capture de l'adresse si vous voulez garder une trace, puis passez par le site officiel du service concerné pour vérifier la demande.

Si vous avez entré un mot de passe, changez-le tout de suite sur le vrai site. Changez aussi ce mot de passe sur les autres services où vous l'utilisiez. Cybermalveillance.gouv.fr conseille d'utiliser des mots de passe différents et complexes pour chaque site, afin qu'un vol sur un service ne donne pas accès aux autres comptes.

Si vous avez donné des informations personnelles, notez exactement lesquelles : nom, adresse, téléphone, date de naissance, identifiant client, numéro fiscal ou copie d'un document. Cette liste vous aidera si vous devez déposer plainte ou surveiller une usurpation d'identité. Restez calme. Une donnée transmise ne signifie pas que le pire va arriver. Elle signifie qu'il faut surveiller et agir dans l'ordre.

Si vous avez payé par carte

La première action est bancaire. Contactez votre banque et faites opposition si les coordonnées de votre carte ont été saisies sur un site frauduleux ou si un débit inconnu apparaît. Demandez un numéro d'opposition et conservez-le. Service-Public indique que Perceval s'adresse aux personnes victimes d'une fraude à la carte bancaire sur internet, toujours en possession de leur carte, qui ne sont pas à l'origine des achats, et qui ont déjà fait opposition.

Ensuite, rassemblez les preuves : capture du QR code, photo du support, adresse du site ouvert, reçu de paiement, relevé bancaire, SMS ou mail reçu, date et heure de l'opération. Ces preuves ne sont pas là pour vous juger. Elles servent à rendre le dossier compréhensible pour la banque, la plateforme de signalement et, si nécessaire, les enquêteurs.

Si le problème concerne un achat en ligne avec une entreprise identifiable, SignalConso peut être le bon canal pour signaler la pratique. Si vous avez été trompé par un faux site ou par une escroquerie en ligne, THESEE peut permettre de déposer plainte en ligne selon votre situation. Pour un SMS frauduleux, le 33700 reste le canal dédié au signalement des SMS et MMS suspects.

Les bons canaux de signalement

Le bon réflexe dépend de ce qui s'est passé. Pour un message d'hameçonnage, Cybermalveillance.gouv.fr recommande de conserver les preuves, de contacter l'organisme concerné au moindre doute, de signaler les SMS suspects au 33700, et de signaler une adresse d'hameçonnage à Phishing Initiative. Ces canaux servent à limiter la diffusion du piège.

Pour une fraude à la carte bancaire sur internet, Service-Public décrit la démarche Perceval. Elle est gratuite et se fait avec FranceConnect. Elle suppose que vous ayez déjà fait opposition auprès de la banque. Le récépissé peut ensuite faciliter vos démarches de régularisation auprès de votre banque.

Pour une escroquerie en ligne, la plainte en ligne THESEE peut être adaptée. Pour un litige avec un vendeur identifié, SignalConso est utile. Pour être orienté sans choisir seul, 17Cyber sert de guichet d'assistance et d'orientation. Pharos ne doit pas être utilisé comme réponse générale à une escroquerie : cette plateforme concerne les contenus illicites en ligne, pas le traitement ordinaire d'un achat frauduleux.

Le réflexe à garder

Le meilleur réflexe tient en une phrase : un QR code est un lien déguisé. Avant de payer, de vous connecter ou de transmettre une information, vérifiez la page comme vous vérifieriez un lien reçu par SMS. L'adresse doit être cohérente, la demande doit être retrouvable par un autre chemin, et l'urgence ne doit pas vous forcer la main.

Si vous avez un doute, arrêtez-vous. Personne de sérieux ne devrait vous punir parce que vous avez pris deux minutes pour vérifier une adresse. Les escrocs, eux, détestent cette pause. Elle casse leur scénario. Elle vous redonne le contrôle.

Et si vous avez déjà cliqué ou payé, ne restez pas seul avec la honte. Les escrocs sont des professionnels de la mise en scène. Ce n'est pas une question d'intelligence. Faites les démarches dans l'ordre, gardez les preuves, et demandez de l'aide si vous en avez besoin.