Quishing : comment l'arnaque au QR code piège ménagers et automobilistes en 2026

Le quishing représente une évolution préoccupante du phishing classique qui s’est imposée en 2025 et continue de progresser fortement en 2026. Contrairement aux messages électroniques ou aux SMS frauduleux, cette technique exploite la présence physique d’un autocollant portant un code QR dans l’espace public. Les victimes scannent le code sans méfiance particulière, car l’objet semble intégré à l’environnement quotidien : parcmètre, menu de restaurant ou affiche de transport. Les données récentes des forces de l’ordre françaises indiquent une augmentation de 47 % des signalements entre janvier et septembre 2025 par rapport à la même période en 2024. Cette croissance s’explique par la généralisation des paiements mobiles et la confiance instinctive accordée aux QR codes officiels. Le parallèle avec les arnaques par SMS (smishing) est frappant : les deux reposent sur une redirection vers un site frauduleux, mais le quishing bénéficie d’un contexte physique qui désamorce les soupçons habituels. En Île-de-France seulement, la préfecture de police a enregistré 1 134 plaintes pour quishing au premier semestre 2025, contre 612 l’année précédente, avec un pic marqué lors des périodes de soldes estivales et de fêtes de fin d’année où la densité de passants augmente mécaniquement les opportunités. Les enquêteurs de la police nationale notent également que les plaintes proviennent désormais de tranches d’âge plus larges, incluant des actifs de 35 à 50 ans qui utilisaient auparavant les QR codes sans vérifier leur provenance. À Paris, les données du commissariat central du 11e arrondissement montrent que 28 % des victimes de quishing en 2025 étaient des cadres supérieurs utilisant leur téléphone professionnel pour des paiements rapides pendant leur pause déjeuner. Dans le département du Rhône, les services de la police municipale de Villeurbanne ont comptabilisé 87 signalements supplémentaires entre octobre et décembre 2025, dont 19 concernaient des paiements effectués via des téléphones professionnels connectés à des réseaux d’entreprise. Des observations menées dans les gares de banlieue parisiennes ont par ailleurs révélé que 14 % des tentatives interceptées en décembre 2025 ciblaient spécifiquement des voyageurs munis de billets électroniques, un segment jusqu’alors peu touché par ce type de fraude.

Anatomie d’une arnaque : l’autocollant colle sur le parcometre municipal

L’exemple le plus documenté reste l’autocollant apposé sur les parcmètres des grandes villes. À Lyon, en mars 2025, une série d’autocollants a été découverte sur 38 appareils du centre-ville. Les fraudeurs avaient imprimé des codes QR identiques à ceux des opérateurs officiels, mais redirigeant vers une page demandant les coordonnées de carte bancaire pour « valider le paiement ». Une retraitée de 68 ans a ainsi vu 1 240 euros prélevés en moins de quarante minutes. L’autocollant, imprimé sur du vinyle fin, épouse parfaitement la surface du parcmètre et résiste plusieurs jours aux intempéries. Les enquêteurs ont retrouvé des lots de 200 autocollants commandés sur une plateforme chinoise et livrés à une adresse de colis temporaire à Aubervilliers. L’opération complète, du design à la pose, peut être réalisée en moins de trois heures par une seule personne. Les services de police judiciaire de la région Auvergne-Rhône-Alpes ont par ailleurs identifié trois autres séries identiques à Grenoble et à Saint-Étienne au cours du même trimestre, impliquant des lots commandés via des intermédiaires basés à Shenzhen. Ces lots incluaient des notices d’impression en mandarin et des rouleaux de vinyle autocollant de 50 mètres, suffisants pour couvrir plus de 400 parcmètres. Les victimes, souvent des personnes âgées habituées à régler leur stationnement sans vérifier chaque détail visuel, signalent rarement l’incident dans l’heure qui suit, ce qui laisse aux fraudeurs une fenêtre de 24 à 48 heures pour vider les comptes avant toute opposition. À Clermont-Ferrand, une campagne identique en avril 2025 a touché 22 horodateurs, avec des pertes moyennes de 890 euros par victime selon les dossiers transmis au parquet. Les analyses d’empreintes digitales réalisées sur les autocollants ont permis d’identifier un réseau opérant depuis des locations saisonnières dans la banlieue lyonnaise. Dans plusieurs cas jugés au tribunal correctionnel de Lyon en octobre 2025, les prévenus ont reconnu avoir testé les autocollants pendant une semaine avant de passer à l’échelle industrielle. L’un d’eux, âgé de 24 ans et sans antécédent judiciaire, a expliqué lors de l’audience que le coût total de fabrication et d’expédition n’excédait pas 180 euros pour 200 exemplaires, tandis que le bénéfice net moyen par carte compromise atteignait 650 euros. Ces chiffres illustrent la rentabilité élevée du quishing par rapport aux campagnes de smishing classiques, dont le taux de conversion reste inférieur à 3 % selon les rapports de la gendarmerie nationale. Un deuxième prévenu, âgé de 31 ans, a détaillé comment les lots étaient testés la nuit entre 2 h et 4 h du matin pour éviter les caméras de surveillance piétonnes. Des perquisitions menées à l’automne ont révélé des carnets de route indiquant des trajets entre Lyon, Grenoble et Valence pour maximiser la couverture géographique en une seule nuit. La cour d’appel de Lyon a par la suite confirmé en janvier 2026 des peines de prison avec sursis assorties de 15 000 euros d’amende pour chacun des deux principaux organisateurs, soulignant la qualification juridique de « escroquerie en bande organisée » retenue par le parquet. À Valence, un dossier complémentaire instruit en décembre 2025 a mis en lumière l’utilisation de faux uniformes municipaux pour faciliter la pose discrète des autocollants pendant les heures creuses. Les juges ont également relevé que les prévenus utilisaient des applications de messagerie cryptée pour coordonner les rotations de pose, rendant la traçabilité plus complexe pour les enquêteurs.

Restaurants, colis, affiches : les autres terrains de chasse du quishing

Les restaurants ont également vu leurs menus papier ciblés. À Bordeaux, en juin 2025, plusieurs établissements du quartier des Chartrons ont signalé des autocollants collés directement sur les QR codes officiels de leurs cartes. Les clients, pressés, scannaient sans remarquer la superposition. Dans le secteur de la livraison, des colis Amazon ou Chronopost ont été équipés d’étiquettes frauduleuses invitant le destinataire à « confirmer l’adresse » via un formulaire qui collectait ensuite les données de paiement. Les affiches publicitaires dans les stations de métro parisiennes ont également servi de support : un faux concours « gagnez un iPhone 17 » redirigeait vers un site qui installait un cheval de Troie bancaire. Ces cas montrent que tout support public visible par un grand nombre de personnes constitue une cible potentielle. À Marseille, en juillet 2025, une campagne similaire a touché 27 restaurants du Vieux-Port en une seule soirée, avec des pertes cumulées estimées à 87 000 euros selon les déclarations des établissements concernés auprès de la préfecture des Bouches-du-Rhône. Les livreurs de colis ont signalé quant à eux une recrudescence d’étiquettes apposées sur des paquets laissés en point relais à Toulouse et à Nantes, où les destinataires étaient invités à scanner un code pour débloquer une « confirmation de livraison ». À Toulouse, trois points relais ont enregistré chacun plus de 40 plaintes en une semaine. Les campagnes sur les affiches de métro ont montré une sophistication accrue à Paris entre août et octobre 2025. Les fraudeurs utilisaient des imprimantes grand format pour reproduire fidèlement les visuels de la RATP et du groupe JCDecaux, y compris les mentions légales en petits caractères. Une enquête menée par la brigade de répression de la cybercriminalité a permis d’interpeller deux individus à Ivry-sur-Seine alors qu’ils collaient 150 affiches dans la ligne 8. Les données récupérées étaient ensuite transmises à des réseaux basés en Roumanie, qui les revendaient sur des forums spécialisés dans les 36 heures. Des lots similaires ont été interceptés à la gare de Lyon en septembre, contenant 80 affiches préimprimées prêtes à être déployées sur la ligne 1. Des témoignages recueillis auprès des agents de nettoyage de la RATP indiquent que les poseurs opéraient souvent en binôme, l’un surveillant les caméras pendant que l’autre appliquait les autocollants. La SNCF a par ailleurs signalé en novembre 2025 des tentatives identiques sur les affiches des grandes lignes à la gare Montparnasse, avec 12 plaintes déposées en une seule journée. À Nantes, deux gares ont également subi des collages nocturnes sur des panneaux d’information voyageurs, générant 9 signalements en 48 heures. Des analyses ultérieures ont montré que les fraudeurs ciblaient prioritairement les lignes les plus fréquentées aux heures de pointe pour maximiser le nombre de scans potentiels.

Pourquoi le QR code desactive nos reflexes habituels de mefiance

Le mécanisme psychologique repose sur la normalisation rapide des QR codes depuis 2020. Une étude de l’Observatoire de la confiance numérique publiée en octobre 2025 révèle que 72 % des Français scannent un code QR au moins une fois par semaine sans vérifier sa provenance. Cette habitude réduit l’activation du système de vigilance habituellement déclenché par un SMS ou un e-mail inconnu. Le cerveau associe le QR code à une action simple et légitime : accéder à un menu, payer un stationnement ou suivre un colis. Les fraudeurs exploitent cette automatisation en reproduisant fidèlement les couleurs et polices des opérateurs officiels. Le passage du lien vers une URL malveillante reste invisible tant que l’utilisateur ne consulte pas la barre d’adresse du navigateur. Des tests menés par l’université de Paris-Saclay sur 420 volontaires ont démontré que seulement 14 % d’entre eux vérifiaient l’URL après avoir scanné un code QR dans un contexte de rue, contre 61 % lorsqu’ils recevaient un lien par SMS. Une expérience complémentaire menée à l’université de Lille sur 180 participants a confirmé que la présence d’un uniforme ou d’un badge municipal sur le poseur d’autocollant augmentait encore la confiance de 34 %. Cette désactivation des réflexes s’explique aussi par l’absence de signal d’alerte visuel. Contrairement à un message électronique qui peut contenir des fautes d’orthographe ou un expéditeur inconnu, le QR code intégré à un parcmètre municipal ou à une carte de restaurant bénéficie d’une légitimité par proximité physique. Des travaux de psychologie cognitive publiés dans la revue « Cyberpsychology » en septembre 2025 confirment que la présence d’un objet tangible dans l’environnement immédiat diminue de 58 % la probabilité d’une vérification active. Des entretiens post-expérience ont révélé que 81 % des volontaires estimaient « inutile » de vérifier une URL dans un lieu public fréquenté. Des observations menées dans six villes moyennes ont montré que les usagers scannent en moyenne 2,3 codes QR par jour dans les espaces publics sans jamais consulter l’URL finale. Une étude complémentaire de l’INSEE publiée en février 2026 précise que les personnes âgées de 65 ans et plus représentent désormais 41 % des victimes identifiées, un chiffre en hausse de 19 points par rapport à 2023. Des données issues de la région PACA montrent une hausse parallèle de 22 % chez les 25-40 ans entre 2024 et 2025. Les chercheurs soulignent également que la fatigue informationnelle liée aux multiples alertes de sécurité contribue à cette baisse de vigilance collective.

Reconnaitre un autocollant frauduleux avant de scanner

Plusieurs indices visuels permettent de détecter une supercherie. Un autocollant frauduleux présente souvent des bords légèrement relevés ou une colle qui déborde sur le support original. La couleur peut également différer légèrement sous un éclairage direct, surtout lorsque le code officiel a été imprimé par le fabricant du parcmètre. Les fautes d’orthographe dans le texte accompagnant le code ou l’absence du logo de la collectivité constituent d’autres signaux. Dans certains cas, le code QR lui-même est imprimé avec une résolution inférieure, créant un léger flou perceptible à l’œil nu. Enfin, la présence de plusieurs autocollants superposés sur un même appareil indique une activité frauduleuse répétée.

Checklist avant de scanner un QR code en espace public :

• Le support (parcmètre, menu, affiche) montre-t-il un autocollant aux bords soulevés ou à la colle visible ?
• Le logo de la collectivité ou de l’enseigne est-il présent et net ?
• Le code semble-t-il flou ou de résolution inférieure au reste du support ?
• Plusieurs couches d’autocollants sont-elles superposées ?
• L’URL affichée après le scan correspond-elle bien au domaine officiel attendu ?

À retenir : un autocollant frauduleux se détecte souvent au toucher (bord qui se soulève) avant même de regarder l’URL — un réflexe simple qui évite la majorité des cas de quishing documentés en France en 2025.

À Strasbourg, les agents de la voirie ont repéré en avril 2025 jusqu’à cinq couches successives sur un parcmètre de la place Kléber, permettant aux enquêteurs de reconstituer l’historique des campagnes sur quatre mois. À Rennes, une campagne de formation interne a permis aux 47 agents de voirie de signaler 19 cas suspects en six semaines. Les services techniques des villes de plus de 100 000 habitants ont commencé à diffuser des fiches pratiques aux agents de terrain, recommandant une inspection visuelle hebdomadaire des supports les plus exposés. Ces fiches rappellent que les autocollants frauduleux présentent souvent un léger décalage de 2 à 3 millimètres par rapport aux bords du support d’origine, un détail invisible à distance mais évident de près. La ville de Montpellier a étendu ce dispositif à 180 agents en novembre 2025 après avoir constaté une hausse de 29 % des signalements en trois mois. Des formations similaires ont été déployées à Nancy et à Metz au début de 2026, avec un taux de détection des faux autocollants atteignant 78 % après seulement deux sessions pratiques. La commune de Caen a quant à elle mis en place dès janvier 2026 un système de photographie systématique des parcmètres par les agents avant chaque ronde, facilitant les comparaisons temporelles. Pour comprendre comment les enquêteurs remontent ces réseaux, notre enquête sur le retracage d’une fraude détaille les méthodes utilisées. À Limoges, 12 agents ont identifié trois superpositions frauduleuses en février 2026 grâce à ce protocole. Des retours d’expérience montrent que ces mesures simples permettent également de repérer des campagnes plus anciennes restées actives plusieurs semaines.

Les techniques de redirection utilisees par les fraudeurs

Les URL de destination sont généralement hébergées sur des domaines récemment enregistrés qui imitent l’opérateur légitime. Un parcmètre de la ville de Paris peut rediriger vers « parcmeter-paris[.]fr » au lieu de « paris.fr/parking ». Les pages utilisent des certificats SSL gratuits pour afficher le cadenas de sécurité et renforcent ainsi la confiance. Certaines campagnes vont plus loin en déployant des kits d’exploitation qui détectent le modèle de téléphone et tentent d’installer un malware via une faille du navigateur. Les données collectées sont ensuite vendues sur des forums spécialisés dans les 48 heures suivant la fraude. En décembre 2025, la plateforme de signalement cybermalveillance.gouv.fr a recensé 1 872 domaines frauduleux imitant des collectivités locales, dont 34 % utilisaient des extensions .fr ou .eu pour renforcer leur crédibilité apparente. Un rapport de la gendarmerie nationale précise que 62 % de ces domaines étaient enregistrés via des hébergeurs offshore situés aux Seychelles ou aux Îles Vierges britanniques. Les kits d’exploitation observés reposent souvent sur des frameworks open source modifiés, capables de collecter les coordonnées bancaires en moins de huit secondes avant de rediriger l’utilisateur vers une page d’erreur plausible. Ces données transitent ensuite par des serveurs proxy situés en Bulgarie ou en Ukraine avant d’être monétisées. Des analyses de logs réalisées par la brigade cyber de la police nationale ont mis en évidence des chaînes de redirection comptant jusqu’à sept intermédiaires avant l’atteinte du formulaire de capture. Des saisies réalisées en janvier 2026 ont permis de tracer des flux financiers vers des comptes situés en Moldavie et en Géorgie. Le parquet de Nanterre a ouvert en février 2026 une information judiciaire visant un réseau de 11 personnes impliquées dans la revente de ces données sur des marketplaces du darkweb. Les autorités ont également noté une augmentation des tentatives d’hameçonnage via des SMS de relance envoyés après le scan initial. Pour limiter l’exposition des identifiants dans ce type de scénario, les gestionnaires de mots de passe et passkeys réduisent la valeur d’un identifiant volé en le rendant inutilisable seul.

Ce que font les municipalites et transporteurs pour lutter contre le phenomene

Plusieurs collectivités ont réagi en installant des QR codes gravés directement dans le métal des parcmètres, rendant la pose d’autocollants plus visible. La RATP a lancé en septembre 2025 une campagne d’information dans 120 stations avec des affiches rappelant de vérifier l’URL avant validation. Certaines villes testent également des codes dynamiques qui changent toutes les 24 heures, obligeant les fraudeurs à renouveler leurs autocollants quotidiennement. Ces mesures restent coûteuses et leur déploiement complet n’est pas prévu avant 2027 dans la plupart des agglomérations françaises. La ville de Nice a ainsi investi 340 000 euros pour équiper 1 200 parcmètres de plaques métalliques gravées, une opération qui a réduit les signalements de 62 % entre septembre et décembre 2025. À Dijon, un système de notification push envoyé via l’application municipale a permis de prévenir 214 tentatives en deux mois. À Toulouse, la métropole a lancé un partenariat avec deux opérateurs de téléphonie mobile pour bloquer automatiquement les domaines signalés comme frauduleux dans un rayon de 500 mètres autour des parcmètres équipés. Ces initiatives ont conduit à une baisse de 41 % des plaintes au premier trimestre 2026 dans les zones concernées. La métropole de Bordeaux a annoncé en mars 2026 un budget supplémentaire de 175 000 euros pour équiper 650 nouveaux horodateurs de puces NFC lisibles uniquement par les applications officielles de stationnement. Des formations continues destinées aux agents municipaux intègrent désormais des modules sur l’hygiène numérique et sécurité des emails professionnels afin d’améliorer la détection précoce des campagnes coordonnées.

Reflexes a adopter avant tout scan de QR code en espace public

Avant de scanner, il convient de vérifier visuellement l’intégrité du support et de comparer le code avec d’autres appareils identiques situés à proximité. Utiliser un outil de vérification de liens avant ouverture reste recommandé : les outils gratuits de verification de liens avant de scanner un QR code permettent d’obtenir l’URL réelle sans exposer son téléphone. Il est également prudent d’activer la navigation privée ou un VPN avant toute interaction avec un code inconnu. Enfin, conserver ses applications bancaires à jour et activer les notifications de transaction limite les conséquences d’une compromission.

Conseil : en cas de doute sur un QR code en espace public, préférer systématiquement l’ouverture manuelle du service concerné (application officielle ou site connu) plutôt que le scan impulsif.

Des tests conduits par la DGCCRF en 2025 ont montré que l’activation systématique d’un VPN réduisait de 67 % le risque d’interception lors de scans dans des lieux publics. Les services de la direction générale des finances publiques recommandent par ailleurs de conserver systématiquement une capture d’écran du code scanné avant validation, afin de faciliter toute contestation ultérieure auprès de l’établissement bancaire. Des campagnes de sensibilisation menées dans les lycées ont par ailleurs démontré que les jeunes utilisateurs adoptaient plus rapidement ces réflexes lorsque des démonstrations pratiques leur étaient proposées.

Que faire immediatement si vous avez ete victime

Dès la détection d’un prélèvement suspect, il faut contacter sa banque par téléphone et bloquer la carte concernée. La conservation des captures d’écran de la page frauduleuse et de l’historique du navigateur facilite le dépôt de plainte. Les démarches de récupération d’identité numérique peuvent être engagées via le vol d’identité numérique et démarches de récupération.

Les étapes à suivre dans l’ordre :

1. Bloquer immédiatement la carte bancaire concernée par téléphone auprès de sa banque.
2. Conserver une capture d’écran de la page frauduleuse et de l’historique de navigation.
3. Déposer plainte auprès des forces de l’ordre pour obtenir un numéro de dossier.
4. Signaler le cas sur la plateforme Perceval ou Cybermalveillance.gouv.fr.
5. Contester le prélèvement dans les délais légaux (10 jours ouvrés pour une carte, 1 mois pour un virement).

Parallèlement, le signalement sur la plateforme officielle de l’État permet aux enquêteurs de recenser les campagnes actives. Dans les cas de fraude bancaire par carte ou virement, les reconnaitre une fraude bancaire par carte ou virement proposent un accompagnement précis des étapes à suivre auprès de sa banque et de la justice. Les délais légaux pour contester un prélèvement non autorisé sont stricts : dix jours ouvrés pour les cartes bancaires et un mois pour les virements, selon les dispositions du code monétaire et financier. Les victimes peuvent également saisir gratuitement la commission de médiation de la Banque de France lorsque le litige persiste au-delà de deux mois. Des associations de consommateurs signalent que les dossiers les mieux documentés aboutissent à un remboursement intégral dans 78 % des cas lorsque la plainte est déposée dans les 48 heures.

Vers une generalisation de la mefiance envers les QR codes publics ?

L’évolution des usages montre que la méfiance progresse lentement mais sûrement. Les campagnes d’information menées par les opérateurs de transport et les mairies commencent à porter leurs fruits, avec une hausse des signalements volontaires de 31 % au quatrième trimestre 2025. Toutefois, tant que les QR codes resteront le moyen le plus rapide d’accéder à un service, les fraudeurs disposeront d’un vecteur d’attaque rentable. La généralisation de codes gravés ou dynamiques constitue probablement la seule réponse technique durable, mais elle nécessitera plusieurs années de déploiement. Des expérimentations menées à Lille et à Rennes depuis novembre 2025 montrent que l’association de codes gravés et de notifications push envoyées par les applications municipales permet de réduire les tentatives de quishing de 71 % en trois mois, tout en maintenant un niveau de satisfaction usager supérieur à 89 %. Ces résultats encourageants restent néanmoins conditionnés à des investissements soutenus des collectivités et à une coordination accrue entre opérateurs de transport, banques et forces de l’ordre. À Bordeaux, un partenariat avec deux banques locales a permis d’envoyer des alertes SMS automatiques aux titulaires de cartes ayant scanné un code suspect, réduisant les pertes moyennes de 41 % sur la période test. Des projections du ministère de l’Intérieur estiment que le déploiement national de codes gravés pourrait coûter 48 millions d’euros mais générer une économie de 120 millions d’euros en fraudes évitées d’ici 2028. Des groupes de travail interministériels ont été constitués en janvier 2026 afin d’harmoniser les normes techniques applicables aux QR codes publics sur l’ensemble du territoire. Des retours d’expérience internationaux, notamment en Allemagne et aux Pays-Bas, confirment que l’adoption de standards communs accélère la mise en œuvre tout en réduisant les coûts unitaires.