اقرأ بالعربية
Menu
Téléphones

Arnaques au QR code (quishing) : faux autocollants, faux QR de paiement et de menu

Un autocollant QR sur un horodateur, un QR dans un colis jamais commandé ou dans un message : tous peuvent mener à un site qui vole votre carte ou votre compte. Comment vérifier un QR code.

Publié le 7 min de lecture

Cet article est disponible en arabe

Vous garez votre voiture dans un parking du centre-ville. Sur l’horodateur, un autocollant soigné : « Payez rapidement : scannez le QR code ». Vous le scannez, une page s’ouvre et vous demande votre immatriculation, la durée de stationnement, puis les informations de votre carte bancaire. Vous payez 10 dirhams et repartez. Quelques jours plus tard, des opérations de plusieurs centaines de dirhams que vous n’avez pas faites apparaissent sur votre compte.

L’autocollant ne venait ni de la commune ni de la société qui gère le parking. Un escroc l’avait collé par-dessus le vrai code, ou à un endroit qui n’accepte même pas le paiement par QR. C’est ce qu’on appelle le quishing : l’hameçonnage par QR code.

Pourquoi les QR codes ?

Un QR code n’est qu’une image qui contient une adresse web. Son avantage : c’est rapide et pratique. Son défaut : vous ne voyez pas l’adresse avant de scanner. Quand un lien est écrit dans un message, vous pouvez remarquer qu’il est bizarre. Un QR code, lui, a toujours l’air innocent.

Et comme on s’est habitué aux QR codes au restaurant, pour payer ou dans les publicités, on les scanne sans réfléchir. Les escrocs l’ont bien compris :

  • Dans les parkings : selon l’association britannique de consommateurs Which? (juin 2025), les faux autocollants se trouvent le plus souvent sur les machines de paiement des parkings. En septembre 2026, la Federal Trade Commission américaine (FTC) a alerté sur des escrocs qui recouvrent les vrais QR codes des horodateurs par les leurs.
  • Dans des colis inattendus : en janvier 2025, la FTC a mis en garde contre des colis non commandés accompagnés d’un mot invitant à scanner un code pour découvrir l’expéditeur. Le code peut mener à un site de phishing ou télécharger un logiciel malveillant.
  • Dans les messages et e-mails : un QR code dans un e-mail qui vous demande de « vérifier votre compte » ou de « recevoir un paiement », car certains filtres repèrent mieux les liens écrits que les images.
  • Dans les messages d’« amende » : la FTC a aussi repéré des SMS qui demandent de scanner un code pour payer une infraction routière et éviter le tribunal. Nous décrivons l’arnaque marocaine équivalente dans l’article les faux SMS d’amende routière.
  • Au restaurant ou en boutique : un autocollant collé sur le QR du menu ou sur le QR de paiement du commerce.

Au Royaume-Uni, selon les chiffres d’Action Fraud cités par Which?, les victimes ont perdu 3,5 millions de livres sterling dans les arnaques au QR code signalées en 2024.

Alerte arnaque

Un QR code ne vous demande rien par lui-même : le danger, c’est la page qu’il ouvre. Si cette page réclame les données de votre carte ou un mot de passe après le scan d’un code dans un lieu public ou un message, arrêtez-vous et vérifiez.

Que peut-il se passer après le scan ?

  • Une fausse page de paiement qui vole votre numéro de carte et son code.
  • Une fausse page de connexion (banque, e-mail, appli de livraison) qui vole votre mot de passe.
  • Le téléchargement d’une application malveillante, surtout sur Android, comme expliqué dans l’article les fichiers APK malveillants.
  • L’abonnement à des services payants sans que vous vous en rendiez compte.

Les signaux d’alerte

  • Un autocollant collé sur un autre, de travers, aux bords décollés, ou qui paraît bien plus neuf que la machine.
  • Un QR code là où vous ne l’attendez pas, ou dans un parking qui affiche déjà d’autres moyens de paiement.
  • L’adresse du site qui s’affiche au scan ne correspond pas au nom de l’entreprise ou de la commune, ou contient des fautes ou des lettres inversées, comme le souligne la FTC.
  • Un lien raccourci qui masque l’adresse réelle.
  • Une page qui exige de télécharger une application avant de payer.
  • Un QR code dans un message ou un e-mail inattendu, surtout s’il est pressant.
  • Un QR code dans un colis que vous n’avez pas commandé.

Comment scanner les QR codes en sécurité

  1. Examinez le code avant de scanner : touchez-le du doigt. Est-ce un autocollant posé sur autre chose ? A-t-il l’air différent des autres panneaux ? Which? recommande de chercher tout signe de manipulation.
  2. Utilisez l’appareil photo du téléphone plutôt que des applications de scan inconnues. L’appareil photo de l’iPhone et de la plupart des Android affiche l’adresse avant de l’ouvrir, et Which? le recommande.
  3. Lisez l’adresse avant de toucher : est-ce le site officiel de l’organisme concerné ? Se termine-t-elle par .gov.ma s’il s’agit d’une administration ? Dans le doute, ne l’ouvrez pas.
  4. Privilégiez les autres moyens de paiement : la machine elle-même, l’application officielle de l’organisme téléchargée depuis la boutique officielle, ou tapez l’adresse du site vous-même.
  5. Ne scannez pas les QR codes contenus dans des e-mails ou SMS inattendus. Si le message semble authentique, contactez l’organisme via un numéro ou un site que vous connaissez.
  6. Ne téléchargez jamais une application depuis une page ouverte par un QR code. Cherchez l’appli vous-même dans la boutique officielle.
  7. Mettez à jour votre téléphone et vos applis, et activez la double authentification sur vos comptes, comme le conseille la FTC.

Astuce

Si vous tenez un commerce ou un restaurant qui utilise un QR code pour le menu ou le paiement, vérifiez-le régulièrement et assurez-vous qu’aucun autocollant n’a été collé dessus. Vous pouvez aussi le placer derrière une protection en plastique, ou l’imprimer directement sur le support plutôt qu’en autocollant facile à recouvrir.

Quand vous payez avec un vrai QR code en boutique

Le paiement par QR code est pratique et légitime dans beaucoup de commerces : le problème n’est pas la technologie, mais les codes falsifiés. Quelques réflexes simples vous protègent :

  • Scannez le code affiché sur le terminal ou l’écran du vendeur quand il existe : il est plus difficile à falsifier qu’un autocollant au mur.
  • Vérifiez le nom du bénéficiaire affiché dans l’application de paiement avant de confirmer : correspond-il au commerce où vous vous trouvez ?
  • Saisissez le montant vous-même, ou vérifiez-le, et ne validez jamais un montant que vous n’avez pas convenu.
  • Utilisez l’application officielle de votre banque ou de votre portefeuille pour scanner, pas une appli inconnue ni une page web qui réclame toutes les données de votre carte.
  • En cas de doute, demandez au vendeur de confirmer le code, ou payez autrement.

Si vous avez scanné un code suspect

D’après les conseils de la FTC et de Which? :

  1. Si vous avez saisi les données de votre carte : appelez immédiatement votre banque au numéro inscrit sur la carte et faites-la bloquer.
  2. Surveillez vos relevés dans les jours et semaines qui suivent, à la recherche d’opérations inconnues.
  3. Si vous avez saisi un mot de passe : changez-le tout de suite, ainsi que sur tous les comptes qui utilisent le même, et activez la double authentification.
  4. Ne contactez personne via le faux site.
  5. Si vous avez téléchargé une application : supprimez-la, analysez le téléphone avec Play Protect sur Android, et suivez les étapes de l’article sur les fichiers APK.
  6. Prévenez le responsable du lieu (commune, parking, restaurant) pour qu’il retire l’autocollant et protège les autres, et signalez les faits à la police ou via la plateforme « E-Blagh » (dgsn.gov.ma) si de l’argent a été volé.

Attention

N’essayez pas d’arracher vous-même un autocollant suspect dans un lieu public si vous n’êtes pas sûr. Prenez-le en photo et prévenez le responsable du lieu. La photo aide l’enquête, et d’autres autocollants peuvent se trouver dans le même quartier.

L’essentiel à retenir

  • Un QR code cache l’adresse : lisez-la toujours avant d’ouvrir.
  • Méfiez-vous des autocollants posés sur d’autres, surtout dans les parkings.
  • Ne scannez pas les codes reçus dans des messages ou des colis inattendus.
  • Préférez payer via la machine ou l’application officielle.
  • Si vous avez saisi votre carte : la banque, tout de suite.

Sources