Faux QR codes : l'arnaque au « quishing » sur les PV et les colis

Depuis le début de l'été 2026, une arnaque bien connue revient en force partout en France, y compris en Seine-Maritime : le « quishing », c'est-à-dire l'hameçonnage par faux QR code. De faux avis de contravention glissés sous les essuie-glaces, de faux avis de passage de La Poste dans les boîtes aux lettres et des autocollants posés sur les horodateurs piègent des victimes chaque semaine, avec à la clé le vol de leurs données bancaires.

Le « quishing », qu'est-ce que c'est ?

Le mot vient de la contraction de « QR code » et de « phishing », le nom anglais de l'hameçonnage. Le principe est simple : à la place d'un lien piégé envoyé par SMS ou par e-mail, l'escroc vous propose un QR code à scanner. Or un QR code est une image : vous ne voyez pas l'adresse du site vers lequel il mène avant de l'avoir scanné. C'est justement ce qui le rend dangereux, comme le rappelle Cybermalveillance.gouv.fr : le code cache sa destination, bien souvent une copie fidèle d'un site officiel, conçue pour aspirer vos identifiants ou votre numéro de carte.

Où se cachent ces faux QR codes ?

Les escrocs choisissent des supports qui inspirent confiance. Les cas signalés cet été concernent surtout :

• de faux avis de contravention posés sur le pare-brise, avec un logo officiel et un QR code à flasher pour « payer l'amende » ;
• de faux avis de passage de La Poste déposés dans la boîte aux lettres, invitant à régler des « frais de livraison » ;
• des autocollants collés par-dessus le vrai QR code des horodateurs et des parcmètres ;
• des QR codes trafiqués sur certaines bornes de recharge pour voitures électriques.

Les réflexes pour ne pas tomber dans le piège

Quelques points de vigilance suffisent à déjouer la plupart de ces arnaques :

• Après avoir scanné, regardez l'adresse du site avant de saisir quoi que ce soit. Une amende officielle se règle uniquement sur amendes.gouv.fr ; un site au nom approchant mais différent doit vous alerter.
• Méfiez-vous d'un QR code qui paraît collé par-dessus un autre, ou d'un autocollant récent sur un horodateur.
• Aucune administration ne réclame un paiement par carte bancaire via un QR code reçu par courrier, par SMS ou déposé sur un véhicule.
• À Paris, aucun avis papier n'est glissé sous l'essuie-glace : la verbalisation y est entièrement dématérialisée. Un papier sur le pare-brise y est donc forcément un faux.
• Au moindre doute, ne scannez pas et connectez-vous par vous-même sur le site officiel de l'organisme concerné.

La règle tient en une phrase : un QR code n'est qu'un lien déguisé. Avant de le suivre, on vérifie sa provenance, et on s'abstient au moindre doute.

Vous avez scanné et saisi vos informations ?

Si vous avez communiqué votre numéro de carte, agissez sans attendre. Contactez d'abord votre banque pour faire opposition. Signalez ensuite l'usage frauduleux de votre carte via Perceval, le service de la gendarmerie accessible sur service-public.fr, puis déposez plainte pour escroquerie. Vous pouvez aussi décrire votre situation sur Cybermalveillance.gouv.fr et son assistant 17Cyber, qui oriente les victimes vers un professionnel référencé. ROne76 est d'ailleurs référencé sur Cybermalveillance.gouv.fr.

Chez ROne76, nous intervenons à domicile en Seine-Maritime pour sécuriser vos ordinateurs et vos appareils, contrôler qu'aucun programme indésirable ne s'y est glissé et vous apprendre à repérer ce type de piège au quotidien. Nous sommes un organisme de Services à la Personne : nos interventions ouvrent droit au crédit d'impôt de 50%, avec l'Avance Immédiate de l'URSSAF qui déduit cette aide directement de votre facture. N'hésitez pas à nous contacter pour prendre rendez-vous.

Sources : Cybermalveillance.gouv.fr, CNEWS, France 3 Régions, Selectra, Service-Public.fr (Perceval).