Trois euros pour se garer en centre-ville, un QR code bien visible sur l'horodateur, un téléphone à portée de main : le geste paraît anodin, presque banal. Sauf que derrière ce petit carré noir et blanc collé sur la borne se cache parfois une arnaque redoutable, capable de détourner l'argent des usagers.
Le procédé porte un nom : le quishing. Contraction de QR code et de phishing (l'hameçonnage en français), cette escroquerie repose sur des QR codes menant vers de faux sites destinés à voler des données personnelles ou bancaires. Des cas ont été signalés à Monaco, Nice et Marseille. Le principe est d'une simplicité déconcertante et le risque peut être important.
Ce que vous allez découvrir
- Comment un faux autocollant transforme un paiement de stationnement en piège bancaire
- Les techniques utilisées par les escrocs pour rendre leurs QR codes indétectables
- Les bons gestes à adopter à l'horodateur et la marche à suivre en cas d'escroquerie
Le piège parfait : comment un simple autocollant sur l'horodateur peut coûter bien plus que 3 €
Le scénario a été signalé dans plusieurs villes du sud de la France. Une place trouvée, une pièce en poche ou une carte à la main, et ce QR code apposé sur l'horodateur. Un scan, une page frauduleuse, quelques informations bancaires saisies pour régler la somme dérisoire de trois euros, et l'affaire semble réglée. Le vrai problème est que les identifiants et les coordonnées bancaires saisis peuvent être volés. Les premiers cas ont été signalés à Monaco en octobre 2024, puis à Nice fin mars 2025, avant qu'un incident ne soit signalé à Marseille le 14 avril.
Quishing, l'arnaque au QR code qui explose : les techniques des escrocs décryptées
Le mécanisme repose sur une substitution matérielle très simple. Les malfaiteurs impriment de faux QR codes et les collent par-dessus les codes authentiques, ou directement sur les façades métalliques des horodateurs, à l'endroit où l'œil s'attend à les trouver. Le camouflage peut passer totalement inaperçu pour un œil non averti. Le code scanné renvoie vers un faux site de paiement qui récupère les identifiants et les coordonnées bancaires saisies. La force de cette arnaque tient à l'urgence ressentie : la crainte de l'amende qui grimpe ou d'une place de parking non réglée. Cette pression pousse à scanner sans vérifier. Le procédé fonctionne aussi sur les bornes de recharge pour véhicules électriques et sur de faux avis de contravention. En 2024, la plateforme Cybermalveillance.gouv.fr a recensé plus de 1,2 million de signalements pour hameçonnage, toutes formes confondues.
Les réflexes qui auraient tout changé et ce qu'il faut faire après être tombé dans le panneau
La règle la plus efficace tient en une phrase : ne jamais scanner le QR code affiché sur un horodateur. Les moyens les plus sûrs restent la carte bancaire insérée directement dans la machine ou les pièces de monnaie. Pour ceux qui préfèrent régler depuis leur téléphone, la solution passe par les applications officielles : PayByPhone, Flowbird ou EasyPark. Il faut ouvrir directement l'application, sans jamais passer par un lien inconnu. En cas de scan malencontreux, un premier vérificateur consiste à regarder l'adresse du site affichée sur le téléphone : en cas de doute, il ne faut pas poursuivre.
Payer son stationnement ne devrait pas se transformer en course d'obstacles, et pourtant la vigilance devient la règle dès qu'un QR code entre en jeu dans l'espace public. Les escrocs profitent d'un geste devenu banal pour glisser leur piège au milieu du mobilier urbain. Reste une question à garder en tête devant chaque borne : et si le petit carré noir et blanc n'était pas celui d'origine ?