Un simple QR code glissé dans votre boîte aux lettres, déguisé en avis de passage La Poste, peut vider votre compte bancaire en quelques heures. Cette technique d’arnaque, appelée « quishing », se propage en France depuis 2023 et s’est même perfectionnée. Découvrez comment ce piège fonctionne et comment vous protéger.
J’ai scanné le QR code de l’avis de passage trouvé dans ma boîte aux lettres : quand ma banque m’a appelé, il était déjà trop tard
Par
Un petit papier jaune glissé entre deux prospectus, un QR code, et quelques secondes d'inattention : c'est souvent tout ce qu'il faut pour qu'un compte bancaire se retrouve vidé. Le scénario se répète dans les boîtes aux lettres françaises depuis plusieurs mois, et la gendarmerie a de nouveau tiré la sonnette d'alarme en 2026 face à cette variante du phishing baptisée « quishing », contraction de QR code et d'hameçonnage.
Le mécanisme est d'une simplicité redoutable. Un faux avis de passage, imitant à s'y méprendre celui de La Poste, annonce qu'un colis ou une lettre recommandée n'a pas pu être livré. Direction : cliquez sur le QR code pour reprogrammer la livraison ou choisir un point relais. Les faux avis de passage de La Poste déposés dans des boîtes aux lettres font partie des QR codes frauduleux qui ont commencé à s'inviter régulièrement dans l'actualité nationale de l'hameçonnage dès 2023. Trois ans plus tard, la technique n'a pas disparu, elle s'est même perfectionnée.
À retenir
- Un QR code camouflé en avis de passage : le nouveau piège qui contourne votre vigilance habituelle
- Pourquoi un montant dérisoire (moins d'1€) suffit à désarmer votre méfiance et à vider votre compte
- Les signaux cachés dans vos vrais courriers postaux que les faussaires n'arrivent jamais à imiter parfaitement
Un piège qui joue sur la confiance du papier
Pourquoi ce papier fonctionne-t-il si bien, là où un email suspect finit généralement à la corbeille ? Une juriste de la Fédération romande des consommateurs l'a très bien résumé lors d'une vague similaire observée à Genève au mois de juin 2026 : « Comme le document est remis physiquement, qu'il semble officiel et que le montant demandé est faible, les victimes sont moins méfiantes ». Voilà tout le ressort psychologique de l'arnaque : un support tangible, glissé chez vous sans intermédiaire numérique, désamorce instinctivement la méfiance qu'on réserve d'ordinaire aux SMS et aux mails.
Le montant réclamé, justement, parle pour lui-même. Rarement plus de deux ou trois euros, présentés comme des « frais de relivraison » ou de reprogrammation. À Genève, les escrocs demandent 2,10 francs pour récupérer un colis fictif et collectent les données bancaires des victimes. En France, les faux courriers réclament parfois des « frais de reprogrammation » de 0,48€ ou 0,90€ pour, sous ce prétexte dérisoire, aspirer un numéro de carte complet. Le calcul des fraudeurs est simple : qui refuserait de payer moins d'un euro pour récupérer son colis ? C'est précisément cette somme ridicule qui désarme la vigilance.
Le problème, c'est que le paiement en ligne ne s'arrête jamais à la petite somme affichée. Une fois vos coordonnées bancaires saisies sur le faux site, qui reproduit fidèlement la charte graphique de La Poste ou d'un transporteur connu, les escrocs disposent de tout ce qu'il faut pour siphonner le compte quelques heures ou quelques jours plus tard, via des achats effectués à distance. C'est souvent à ce moment précis que la banque appelle, pour signaler une opération suspecte, un débit inhabituel à l'étranger. Mais le mal est déjà fait : les identifiants ont été livrés en toute confiance, la validation a été faite par la victime elle-même, et certains établissements peuvent refuser un remboursement automatique tant que l'opération a été « authentifiée » par le client.
Pourquoi le QR code déjoue les réflexes habituels
Ce qui rend le quishing particulièrement vicieux, c'est justement ce petit carré de pixels noirs et blancs. Contrairement à un lien hypertexte dans un email, impossible de survoler un QR code du regard pour vérifier l'adresse de destination avant de cliquer. On scanne, et l'appareil ouvre directement le navigateur sur une page qu'on n'a pas eu le temps de juger. Cette absence de contrôle visuel explique en grande partie pourquoi cette technique progresse aussi vite en France, alors même que le public est de plus en plus averti face aux emails et SMS frauduleux classiques.
La gendarmerie et les associations de consommateurs pointent aussi la multiplication des scénarios dérivés. Le même procédé sert désormais à imiter de faux avis de contravention, de fausses notifications de l'Assurance Maladie, ou même de fausses cartes bancaires envoyées par courrier avec un QR code d'« activation ». Une règle simple permet pourtant de couper court à ce dernier scénario : une banque n'envoie jamais de QR code pour activer une carte, l'activation se faisant toujours par un premier retrait ou paiement. Le point commun de toutes ces variantes reste le même : un ton alarmiste, un délai artificiellement resserré, et la promesse qu'un simple scan réglera le problème en trente secondes.
Les bons réflexes avant, et surtout après, avoir scanné
La meilleure parade reste étonnamment low-tech : ne jamais scanner un QR code pour effectuer une démarche administrative ou financière, quel que soit le support. Si un avis de passage semble louche, mieux vaut se rendre directement sur le site officiel du transporteur et saisir soi-même le numéro de suivi indiqué sur le papier, plutôt que de suivre le chemin tout tracé du code. Un vrai avis, d'ailleurs, comporte généralement des éléments que les faux imitent mal : un avis officiel de La Poste est nominatif, indique l'adresse précise du bureau où est déposée la lettre, et affiche une URL claire, contrairement à l'exemplaire falsifié.
Et si le mal est fait, si le QR code a été scanné et le formulaire rempli ? La règle d'or ne change pas d'un pays à l'autre : contacter sa banque sans attendre de voir apparaître un débit. Les autorités genevoises, confrontées à une vague comparable au printemps 2026, recommandaient exactement la même chose : contacter sa banque pour signaler la fraude, tenter d'annuler le paiement et, si nécessaire, faire bloquer la carte utilisée. En France, le réflexe est identique : opposition immédiate, changement de mot de passe si un identifiant a été saisi, puis signalement sur la plateforme Cybermalveillance.gouv.fr et dépôt de plainte auprès de la gendarmerie ou de la police.
Un détail mérite d'être gardé en tête pour la prochaine fois que ce petit papier jaune apparaîtra dans la boîte aux lettres : les vrais facteurs, eux, inscrivent presque toujours le numéro de colis ou le nom du destinataire à la main sur l'avis de passage. L'absence totale de mention manuscrite, remplacée par un QR code géant et rien d'autre, est à elle seule un signal qui devrait suffire à jeter le papier plutôt qu'à sortir son téléphone.
Sources : selectra.info | senioractu.com