Quishing : l'arnaque au QR code qui vise les automobilistes

Le 1er octobre 2026, le ministère de l'Économie a publié une fiche pratique consacrée au quishing, l'arnaque au QR code. Plusieurs des supports détournés par les escrocs concernent directement les automobilistes : parcmètres, bornes de recharge pour véhicules électriques et faux avis de contravention. Voici comment fonctionne cette fraude, ce qu'il faut vérifier avant de scanner et les démarches à suivre si vous avez été piégé.

Le quishing, contraction de « QR code » et de « phishing », est une technique d'hameçonnage qui repose sur un QR code malveillant. Une fois scanné, il renvoie vers un site frauduleux ou invite à télécharger un logiciel malveillant.

L'arnaque suit un schéma en quatre étapes :

• l'escroc génère un QR code qui pointe vers un faux site ou un fichier piégé ;
• il le place dans un lieu public, le colle sur un QR code légitime ou l'envoie par e-mail ;
• la victime scanne le code, puis saisit ses données personnelles ou bancaires ou télécharge le fichier ;
• l'escroc récupère les données ou l'argent transmis.

Selon le ministère, des QR codes frauduleux ont été utilisés sur des parcmètres, des bornes de recharge de véhicules électriques, de faux avis de contravention et de faux avis de passage. On en trouve aussi sur des affiches, des flyers ou des menus de restaurant.

Sur un horodateur ou une borne, le faux code peut prendre la forme d'un simple autocollant posé par-dessus le vrai. Le conducteur pense payer son stationnement ou sa recharge sur une page officielle, alors qu'il transmet ses coordonnées bancaires à un escroc.

Le QR code peut aussi arriver par e-mail. La méthode peut sembler étrange, puisqu'il faut un second appareil pour le scanner, mais elle est de plus en plus utilisée dans les messages d'hameçonnage, parfois en envois massifs.

Avant le scan : regarder le support

Vérifiez que le QR code n'a pas été collé par-dessus un autre. Si un second QR code apparaît en dessous, c'est un signal d'alerte.

Après le scan : lire l'adresse du site

Avant d'ouvrir le lien, lisez l'adresse du site qui s'affiche et assurez-vous qu'elle correspond bien au site attendu. Au moindre doute, n'ouvrez pas le lien.

Sur la page : se méfier des demandes de données

Soyez particulièrement vigilant si vous êtes ensuite invité à communiquer des informations personnelles ou des coordonnées bancaires.

Pour payer votre stationnement ou une recharge, le plus simple est de ne pas dépendre d'un QR code trouvé sur place : réglez directement sur l'horodateur ou la borne, ou passez par une application de paiement que vous avez vous-même téléchargée depuis le magasin d'applications de votre téléphone.

Face à un avis de contravention qui vous paraît douteux, ne scannez pas le code imprimé. Tapez vous-même l'adresse du site officiel de paiement des amendes, amendes.gouv.fr, dans votre navigateur.

Enfin, anticiper reste le meilleur réflexe : savoir où se garer et comment payer avant de partir évite les décisions prises dans la précipitation, celles que les escrocs exploitent.

Vous avez scanné un QR code mais vous avez un doute

Si l'adresse affichée après le scan vous semble suspecte ou ne correspond pas au site attendu, n'ouvrez pas le lien et ne poursuivez pas.

Vous avez communiqué des informations ou subi un préjudice

Si vous avez saisi vos coordonnées bancaires, contactez sans attendre votre banque pour faire opposition.

Le service public 17Cyber (17cyber.gouv.fr) permet de faire un diagnostic de votre situation et d'être orienté vers les démarches adaptées.

En cas d'escroquerie, vous pouvez, selon votre situation :

• déposer une plainte en ligne si de l'argent vous a été demandé, même sans versement effectif ;
• prendre rendez-vous via Police Rendez-vous pour porter plainte ou déposer une main courante ;
• porter plainte dans un commissariat ou une brigade de gendarmerie.

Avec Yespark, la réservation et le paiement se font sur le site ou dans l'application, que vous ouvrez vous-même, sans moyen de paiement à chercher en arrivant. Les places se trouvent dans des résidences et immeubles privés, à réserver à l'heure, à la journée ou au mois.

• Place garantie à votre arrivée
• Accès 100 % digital depuis votre smartphone, 24h/24 et 7j/7
• Abonnement sans engagement, avec 2 jours d'essai
• Gestion en ligne de votre abonnement