Un autocollant flambant neuf sur l’écran de l’horodateur, un QR code bien net, et moi qui scanne en deux secondes pour éviter la queue au distributeur de tickets. Résultat : un appel de ma banque le lendemain matin pour une tentative de prélèvement suspecte, et la confirmation amère que j’avais filé mes coordonnées bancaires à des escrocs plutôt qu’à ma mairie. Le pire, c’est que je ne suis clairement pas un cas isolé : cette arnaque, baptisée le quishing, cartonne en ce moment sur les parkings français.
À retenir
- Des faux QR codes apparaissent sur les horodateurs : qui se cache vraiment derrière ?
- Pourquoi même les gens techniquement avertis se font piéger par cette arnaque
- 13 mois pour agir : les démarches urgentes si vous êtes victime
Comment un simple autocollant peut vider un compte en banque
Le mécanisme est d’une bêtise déconcertante, et c’est justement ce qui le rend redoutable. Des escrocs collent un sticker imitant parfaitement le QR code officiel directement sur l’horodateur, parfois carrément par-dessus le vrai. Les escrocs collent des autocollants sur les parcmètres, invitant les automobilistes à scanner un QR-Code pour payer leur stationnement, mais en réalité, ce QR-Code dirige l’utilisateur vers une page frauduleuse, qui ressemble pourtant à une page officielle. On tape sa carte bancaire persuadé de régler deux heures de stationnement, et en fait on vient de livrer ses données à un serveur planqué on ne sait où.
Ce qui m’a scié en creusant le sujet, c’est l’ampleur géographique du phénomène. À Nice, la mairie a dû faire contrôler l’intégralité de son parc d’horodateurs après la découverte de faux stickers imitant l’application PayByPhone. De faux QR codes ont fait leur apparition sur les bornes de paiement du stationnement, prétendant permettre de télécharger l’application de paiement en ligne, mais renvoyant en réalité vers une page de téléchargement pirate créée de toutes pièces. Même topo à Marseille, où ce sont les agents de la SAGS qui ont identifié les premiers cas dans le quartier Vauban, et les autocollants frauduleux ont été retirés dès leur découverte. Et ça ne s’arrête pas aux frontières : à Lausanne, la police a carrément interpellé trois suspects après avoir constaté que le mode opératoire consistait à apposer des autocollants comportant des QR codes falsifiés sur les horodateurs, redirigeant les usagers vers des plateformes imitant les sites de paiement reconnus.
Les montants dérobés restent souvent discrets, ce qui est presque plus vicieux. En France, les montants varient entre 50 et 600 euros par opération, selon les premiers retours d’enquêteurs spécialisés en cybercriminalité à Marseille et Nice. Rien d’assez énorme pour déclencher une alerte immédiate sur le relevé bancaire, mais suffisant pour que les fraudeurs enchaînent les victimes toute la journée sur un seul horodateur piégé. À l’étranger, la facture peut grimper bien plus haut : en Irlande, une automobiliste a perdu près de 1.000 euros, et au Royaume-Uni, plus de 1 300 plaintes ont été enregistrées pour ce type de fraude depuis 2024.
Pourquoi ce piège fonctionne aussi bien sur des gens pas idiots
J’ai un master en informatique et je me suis quand même fait avoir, alors non, ce n’est pas une question d’être naïf. Le quishing joue sur un cocktail précis : la banalisation totale du QR code depuis la pandémie, et l’urgence du moment (on est pressé, on a la voiture en double file, on veut juste payer et partir). Ce genre de fraude joue sur deux leviers, la confiance dans l’outil et l’urgence de la situation : l’automobiliste pense régler un service habituel, à un moment où il est pressé, sans imaginer être ciblé par une arnaque. Un commentaire glané sur un forum résume bien le sentiment général : « on fait totalement confiance à la technologie, on pense que si c’est là, c’est que c’est sûr ».
Le vrai souci technique, c’est que scanner un QR code contourne nos réflexes de méfiance habituels. Avec un mail, on peut survoler un lien et voir l’adresse louche avant de cliquer. Avec un QR code, on découvre l’URL de destination seulement après avoir scanné, souvent directement sur mobile où les adresses s’affichent tronquées. Contrairement aux emails frauduleux classiques, le QR code contourne certains réflexes de méfiance, car il ne permet pas de voir immédiatement l’URL de destination. Autant dire que le format lui-même est un cadeau pour les arnaqueurs.
Détail qui m’a fait grincer des dents : les faux sites sont devenus quasiment indétectables à l’œil nu. Les fautes d’orthographe grossières qui trahissaient les arnaques d’il y a dix ans ont disparu, notamment parce que les escrocs utilisent désormais l’intelligence artificielle pour générer des courriers parfaitement rédigés, reproduisant fidèlement la charte graphique des banques et des administrations. Sur le terrain physique, seul un détail matériel trahit parfois le piège : un QR code frauduleux est souvent un autocollant posé par-dessus un autre, et le papier peut paraître légèrement bombé ou ne pas être aligné parfaitement avec l’interface de l’horodateur.
Ce qu’il faut faire (et ce que j’aurais dû faire avant de scanner)
La parade la plus efficace, c’est de ne jamais scanner le QR code physique collé sur la borne. Le bon réflexe consiste à télécharger l’application de paiement officielle avant de se stationner, directement depuis les stores officiels, et à ouvrir cette application plutôt que de passer par un scan improvisé. Si un doute subsiste sur l’adresse affichée après un scan, mieux vaut fermer la page immédiatement : un QR code légitime vous demande rarement de régler en urgence ou de saisir votre mot de passe bancaire, et une administration ne réclame jamais un paiement par QR code non sollicité.
Si le mal est déjà fait, comme dans mon cas, il ne faut pas traîner. La priorité absolue, c’est de contacter immédiatement sa banque, par téléphone et par écrit, et demander la mise en opposition de ses cartes. Ensuite, direction la plateforme officielle : signaler la fraude à la carte bancaire sur la plateforme Perceval, accessible via service-public.fr avec FranceConnect, ce qui facilite les enquêtes et renforce le dossier de remboursement. Sachez aussi que la fenêtre pour agir n’est pas aussi courte qu’on le croit : vous disposez de 13 mois après le débit pour contester les opérations frauduleuses et demander le remboursement. En revanche, la banque peut se montrer plus dure que prévu si elle estime qu’il y a eu négligence : votre banque analysera les circonstances et pourra refuser le remboursement en cas de négligence grave prouvée, par exemple si vous avez communiqué volontairement vos données bancaires. Autant dire que le prochain autocollant flambant neuf sur un horodateur, je préfère payer en pièces plutôt que de retenter l’expérience.
Sources : selectra.info | media.roole.fr