Quishing : l’arnaque au QR code qui explose en France (et comment l’éviter)

Payer son stationnement, consulter un menu au restaurant, lancer une recharge de voiture électrique : le QR code s’est glissé partout dans notre quotidien. Et c’est précisément ce qui en fait une arme redoutable pour les escrocs. Un simple autocollant posé au bon endroit, et des dizaines de victimes saisissent leurs coordonnées bancaires sur un faux site sans le moindre soupçon.

Cette technique porte un nom : le quishing, contraction de « QR code » et de « phishing ». Et elle progresse à grande vitesse en France. Voici comment fonctionnent ces pièges, les scénarios les plus répandus en ce moment, et les réflexes simples qui vous éviteront de tomber dedans.

Pourquoi le QR code est le piège parfait

Le phishing classique par e-mail ou SMS a un talon d’Achille : le lien est visible. Un internaute attentif peut repérer une adresse louche avant de cliquer, et les filtres de messagerie analysent les URL suspectes.

Le QR code fait sauter ces deux protections d’un coup :

• Il est illisible pour l’œil humain. Impossible de deviner où mène un carré de pixels noirs et blancs avant de le scanner.
• Il passe sous les radars. Intégré dans une image ou une pièce jointe, il échappe souvent aux filtres anti-phishing qui analysent le texte des messages.
• Il déplace l’attaque sur votre téléphone. En scannant avec votre smartphone personnel, vous quittez le réseau protégé de votre entreprise ou les protections de votre ordinateur.
• Il bénéficie d’une confiance acquise. Nous avons pris l’habitude de scanner sans réfléchir, un réflexe ancré depuis la généralisation des menus et paiements sans contact.

Les scénarios de quishing les plus répandus en ce moment

La fausse contravention sur le pare-brise

C’est l’arnaque star du moment en France. Un avis de contravention très convaincant, logo officiel à l’appui, est glissé sous votre essuie-glace. Il vous propose de régler l’amende immédiatement en scannant un QR code. Le code mène vers une copie du site officiel de paiement des amendes, où l’on vous demande votre plaque d’immatriculation puis votre carte bancaire.

Le vrai préjudice dépasse largement les 35 euros de la fausse amende : ce sont vos coordonnées bancaires complètes qui partent chez les escrocs. Retenez une règle absolue : le paiement d’une amende passe uniquement par amendes.gouv.fr ou l’application officielle, jamais par un QR code sur papier. À Paris, où la verbalisation est entièrement dématérialisée, tout avis papier déposé sur votre véhicule est par définition un faux.

Le QR code collé sur les bornes et horodateurs

Bornes de recharge électrique, horodateurs, panneaux de stationnement : les escrocs collent leur propre autocollant par-dessus le QR code légitime. Vous croyez payer votre stationnement ou votre recharge, vous alimentez en réalité le compte d’un fraudeur, qui conserve au passage vos données de carte.

Le réflexe : vérifier que le code fait partie intégrante du support (idéalement affiché sur l’écran de la borne) et se méfier de tout autocollant en relief, mal aligné ou qui se décolle.

Le faux avis de passage et les e-mails piégés

Dans la lignée des arnaques au colis par SMS, de faux avis de passage de livraison vous invitent à scanner un code pour « reprogrammer une livraison ». Côté messagerie, les campagnes les plus courantes imitent des alertes de sécurité de grands services technologiques : on vous presse de scanner un code pour « réactiver votre double authentification » ou « éviter la suppression de votre compte ». La page d’arrivée est une fausse page de connexion qui aspire votre e-mail et votre mot de passe.

Le code caché en pièce jointe

Variante plus sophistiquée, très utilisée contre les employés d’entreprise : l’e-mail est quasiment vide, mais contient un PDF ou une image renfermant le QR code. Le corps du message étant inoffensif, les filtres de sécurité ne détectent rien. Et en vous incitant à scanner avec votre téléphone personnel, l’attaquant contourne les protections du réseau de votre employeur.

Le point commun de toutes ces arnaques : l’urgence

Amende qui va être majorée, colis sur le point d’être renvoyé, compte menacé de suppression, place de parking non réglée : chaque scénario joue sur la peur et la précipitation. C’est le même levier psychologique que le phishing classique, transposé dans le monde physique. Quand on vous presse de scanner, c’est le moment de ralentir.

Les bons réflexes avant (et après) de scanner

Avant de scanner

1. Lisez l’URL affichée par votre téléphone. Les appareils récents montrent l’adresse de destination avant d’ouvrir la page. Prenez deux secondes pour la lire : une extension inhabituelle (.com ou .net à la place de .gouv.fr pour un service public), un nom de domaine approximatif ou truffé de tirets doit vous arrêter net.
2. Inspectez le support physique. Autocollant posé par-dessus un autre, impression de mauvaise qualité, emplacement incongru : dans le doute, ne scannez pas.
3. Privilégiez le canal officiel. Pour payer un stationnement, une amende ou une recharge, passez par l’application officielle du service ou tapez vous-même l’adresse. C’est à peine plus long et infiniment plus sûr.
4. Méfiez-vous de tout QR code reçu par e-mail ou SMS. Un service légitime n’a quasiment jamais besoin de vous faire scanner un code depuis un message : un lien classique suffirait. Le QR code dans un e-mail est en soi un signal d’alerte.

Un allié inattendu : votre gestionnaire de mots de passe

Comme pour le phishing classique, le remplissage automatique d’un gestionnaire de mots de passe ne fonctionne que sur le domaine authentique. Si la page de connexion ouverte après un scan ne déclenche pas votre remplissage automatique, considérez que vous êtes sur une copie. Et si chaque compte possède un mot de passe unique et robuste, généré par exemple avec FortixPass, un identifiant volé sur une fausse page reste un incident isolé au lieu de compromettre toute votre vie numérique.

Si vous êtes tombé dans le piège

Pas de panique, mais agissez vite et dans l’ordre :

1. Coordonnées bancaires saisies ? Faites opposition immédiatement auprès de votre banque et surveillez vos relevés.
2. Mot de passe saisi ? Changez-le sans attendre sur le service concerné et partout où vous utilisiez le même, puis activez la double authentification.
3. Signalez l’escroquerie sur la plateforme Perceval (pour les fraudes à la carte bancaire) via service-public.fr, et déposez plainte.
4. Application installée après un scan ? Désinstallez-la, lancez une analyse de sécurité et changez vos mots de passe depuis un autre appareil.

Ce qu’il faut retenir

Le QR code n’est ni bon ni mauvais : c’est un raccourci vers une adresse web, tout simplement invisible à l’œil nu. Le quishing exploite cette opacité et notre habitude de scanner machinalement. Trois réflexes suffisent à déjouer l’immense majorité des pièges : lire l’URL avant d’ouvrir la page, ne jamais payer via un QR code trouvé sur papier ou reçu par message, et passer par les canaux officiels au moindre doute.

Et comme toujours en sécurité, préparez le terrain avant l’incident : des mots de passe uniques par compte et la double authentification transforment une tentative de vol en simple anecdote. Deux minutes suffisent pour générer des identifiants solides sur FortixPass.