Ce petit autocollant collé sur l’horodateur qui promet de payer « plus vite » n’est pas une amélioration du service municipal. C’est très probablement un piège tendu par des escrocs qui ont recouvert le vrai QR code par le leur, et qui viennent de récupérer vos coordonnées bancaires en quelques secondes. Un faux autocollant recouvre le QR code officiel d’un parcmètre, et une fois scanné, la victime arrive sur un site qui ressemble au vrai. Le coup de fil de la banque le lendemain, ce n’est pas un hasard : c’est la conséquence directe de cette fraction de seconde où votre pouce a été plus rapide que votre méfiance.
À retenir
- Un autocollant recouvre le vrai QR code de paiement et redirige vers un faux site en quelques secondes
- Vous ne voyez jamais l’URL avant de scanner : on scanne littéralement à l’aveugle
- La banque ne rembourse pas toujours si vous avez vous-même saisi vos données sur le faux site
Le mécanisme, aussi simple que redoutable
Cette arnaque a un nom, le « quishing », contraction de QR code et de phishing. C’est la contraction de QR code et de phishing, une arnaque qui remplace le lien piégé d’un email ou d’un SMS par un QR code, avec le même but : rediriger vers un faux site pour voler des identifiants ou des coordonnées bancaires. La différence avec un mail douteux qu’on repère au premier coup d’œil ? Contrairement à un lien dans un email, un QR code ne montre pas l’URL de destination avant qu’on le scanne, donc impossible de vérifier où il envoie, on ne voit pas l’adresse suspecte. On scanne à l’aveugle, littéralement.
Le pire, c’est que le scan lui-même ne fait rien de mal. Un scan seul ne vide pas votre compte, le danger arrive quand vous saisissez vos données sur la fausse page. Le vrai piège, c’est l’interface qui s’affiche derrière, souvent une copie quasi parfaite de l’appli de stationnement, avec le bon logo, les bonnes couleurs, le bon nom. À Nice par exemple, de faux codes prétendaient permettre de télécharger l’application PayByPhone mais renvoyaient vers une page de téléchargement pirate créée de toutes pièces et qui ressemble à s’y méprendre à l’application officielle. Une fois les identifiants tapés, l’argent ne part pas vers la ville, il part directement dans la poche des escrocs.
Une vague qui touche déjà plusieurs villes françaises
Ce n’est pas un incident isolé sur un horodateur perdu. Le phénomène a débuté sur la Côte d’Azur avant de se répandre. Les escroqueries ont débuté à Monaco en octobre 2024 avant d’affecter des automobilistes à Nice fin mars 2025, et le dernier incident a été signalé à Marseille le 14 avril dernier. La technique s’est ensuite exportée ailleurs, jusqu’en Dordogne, où les QR codes qui permettent aux automobilistes de payer avec leur téléphone sur les bornes de stationnement ont été piratés à Bergerac.
Et l’ampleur du problème dépasse largement le parking. Selon les derniers chiffres, près de 15 % des personnes ayant scanné un code ces derniers mois ont abouti sur un site suspect ou dangereux, et le volume de messages malveillants l’exploitant a été multiplié par cinq en quelques mois. Les gendarmes eux-mêmes tirent la sonnette d’alarme depuis cet été : « Ne flashez pas sur n’importe quoi », scande la gendarmerie ces dernières semaines, face à la recrudescence de cette arnaque bien connue des cybercriminels. Et le stationnement n’est qu’un terrain de chasse parmi d’autres : les bornes de recharge électrique sont également visées, avec des faux QR codes collés par-dessus les vrais, tout comme les faux avis de passage postaux ou les avis de contravention glissés sous l’essuie-glace.
Repérer le piège avant qu’il ne soit trop tard
Sur le terrain, quelques indices trahissent presque toujours l’arnaque. Un autocollant qui dépasse légèrement du support, une texture différente du reste de la borne, ou carrément un QR code collé par-dessus un autre : un rapide coup d’ongle révèle souvent l’autocollant frauduleux placé sur l’original. C’est bête, mais ça marche dans la majorité des cas.
Le réflexe le plus efficace reste pourtant en amont : ne jamais compter sur le QR code collé sur la borne pour payer. Il vaut mieux télécharger l’application de paiement avant de se stationner, en passant uniquement par les stores officiels comme l’Apple Store ou Google Play. Une fois l’appli installée et ouverte directement depuis son téléphone, plus besoin de scanner quoi que ce soit sur le terrain. Si malgré tout un scan s’impose, il faut prendre deux secondes pour regarder l’adresse affichée avant de taper la moindre donnée : un domaine officiel commence par « https:// » et contient clairement le nom de l’opérateur, tandis qu’une adresse raccourcie, un nom inhabituel ou une faute d’orthographe doivent alerter.
Ce qu’il faut faire dans les minutes qui suivent
Si vous avez déjà saisi vos coordonnées bancaires sur la fausse page, chaque minute compte. La priorité absolue : faire opposition auprès de sa banque sans attendre, changer ses mots de passe, surveiller ses comptes et signaler l’arnaque au dispositif public d’assistance. En pratique, cela passe par cybermalveillance.gouv.fr ou une plainte en gendarmerie, en gardant précieusement les preuves : il faut conserver le QR code, l’affiche, l’autocollant, le SMS, le mail, l’URL de redirection, les captures d’écran, l’heure du scan, le lieu précis et les mouvements bancaires.
Un point mérite d’être connu avant même d’en arriver là : la justice a récemment précisé le cadre juridique de ces litiges. La Cour de cassation a tranché en 2025 que pour une opération non autorisée, « seul est applicable le régime de responsabilité défini aux articles L. 133-18 à L. 133-24 du code monétaire et financier. » si vous avez validé vous-même l’opération frauduleuse (authentification forte comprise), la banque peut être plus réticente à rembourser que si votre carte avait simplement été piratée à votre insu. C’est justement pour ça que le geste le plus rentable reste le plus simple : garder deux pièces dans la poche, et laisser le QR code de l’horodateur tranquille.
Sources : selectra.info | kohenavocats.com