Arnaques au QR code : reconnaître les pièges et réagir
Une arnaque au QR code, aussi appelée quishing, cache un lien piégé derrière un code à scanner. On la rencontre sur des horodateurs ou des bornes de recharge, dans de faux courriers de banque et dans des mails. Le réflexe : lire l’adresse affichée avant de l’ouvrir, et ne jamais payer ni saisir d’identifiants après un scan que vous n’attendiez pas.
Le QR code est devenu si banal qu’on le scanne sans réfléchir. Voici les pièges du moment et les gestes qui protègent.
Comment fonctionne une arnaque au QR code
Un QR code n’est qu’un lien caché dans une image. Impossible de savoir où il mène avant de le scanner : c’est ce qui intéresse les escrocs. Ils collent un faux code par dessus un vrai, ou l’impriment sur un courrier qui imite celui d’une banque ou d’une administration. Le code ouvre un faux site, presque identique à l’original, qui demande un paiement, des identifiants ou une carte bancaire. Le principe est le même que celui des faux SMS, mais avec une image au lieu d’un lien.
Les arnaques au QR code du moment
Sur les horodateurs, les bornes de recharge et les parkings
Au printemps 2025, Marseille et Nice ont alerté leurs habitants : de faux QR codes autocollants avaient été posés sur des horodateurs. Ils menaient à une fausse page de paiement imitant les applications de stationnement. L’automobiliste croit payer quelques euros et livre en réalité sa carte bancaire, parfois découverte des semaines plus tard sur son relevé. Le même piège vise les bornes de recharge des voitures électriques et certaines terrasses de restaurant.
Dans un faux courrier de banque
Depuis le début de l’année 2026, des escrocs envoient par la poste une fausse carte bancaire, avec une lettre qui invite à l’activer en scannant un QR code. Le code ouvre une copie du site de la banque, où la victime saisit ses identifiants. Or une carte ne s’active jamais par QR code : l’activation passe par un premier paiement ou un retrait. Notre article sur la fausse carte bancaire reçue par courrier détaille ce piège. D’autres courriers imitent Amazon pour promettre un remboursement : voyez notre article sur l’arnaque au faux courrier Amazon.
Dans un faux avis d'amende ou de passage
Un faux avis de contravention laissé sur le véhicule, ou un faux avis de passage de La Poste, peut lui aussi porter un QR code qui réclame un paiement immédiat. Une administration ne réclame jamais de paiement par un QR code que vous n’attendiez pas. Pour une amende, tapez vous même l’adresse amendes.gouv.fr, comme nous l’expliquons dans notre article sur les faux messages de l’ANTAI.
Dans un mail, au travail
En entreprise, le QR code sert à contourner les filtres de messagerie, qui analysent les liens mais pas les images. Un mail invite à scanner un code pour « réactiver la double authentification » ou « signer un document ». Le scan se fait avec le téléphone personnel, moins protégé que le poste de travail. Notre guide sur l’hameçonnage en entreprise explique comment former les équipes.
Comment vérifier un QR code avant de l'ouvrir
L’appareil photo du téléphone affiche l’adresse du site avant de l’ouvrir : prenez deux secondes pour la lire. Une orthographe étrange, un nom de domaine sans rapport avec le service ou une adresse raccourcie doivent vous arrêter. Sur un horodateur ou une borne, regardez si le code est un autocollant posé par dessus l’affichage d’origine, et passez plutôt par l’application officielle ou le terminal de paiement. Enfin, la règle la plus simple : ne payez jamais et ne saisissez jamais vos identifiants après avoir scanné un code que vous n’attendiez pas.
J'ai scanné un QR code piégé : que faire ?
- Si vous avez saisi votre carte bancaire, faites opposition tout de suite auprès de votre banque.
- Si vous avez saisi un mot de passe, changez le sur le site officiel, et partout où vous l’utilisiez.
- Surveillez vos relevés pendant plusieurs semaines : certaines fraudes apparaissent tard.
- Signalez le faux code à la mairie ou à l’exploitant du parking, et l’arnaque sur la plateforme publique 17Cyber.
- En cas de débit, déposez plainte et demandez le remboursement à votre banque.
Notre guide J’ai cliqué sur un lien suspect détaille ces gestes, qui valent aussi après un scan.
Questions fréquentes
Peut-on attraper un virus en scannant un QR code ?
Le scan seul ne suffit pas : le danger vient du site ouvert ensuite, qui peut proposer de télécharger une application piégée. N’installez jamais une application proposée après un scan, passez toujours par la boutique officielle.
La banque rembourse-t-elle après une arnaque au QR code ?
La banque doit rembourser un paiement que vous n’avez pas autorisé, sauf si elle estime que vous avez commis une négligence grave, par exemple en communiquant vous même un code de validation. Déposez plainte et contactez la sans attendre.
Existe-t-il des applications pour vérifier un QR code ?
L’appareil photo de votre téléphone suffit, puisqu’il affiche l’adresse avant de l’ouvrir. Évitez les applications de scan inconnues, qui peuvent elles mêmes être piégées.
Pour tous les autres pièges, consultez notre page sur les cyberarnaques.
