================================================================================
# Arnaque aux faux QR codes : reconnaître les QR codes frauduleux et protéger ses données
================================================================================
Dernière mise à jour : 2026
🔴 Situation urgente ? Appelez maintenant : 01 59 13 04 13
Réponse immédiate — Gratuit — 24h/7j
Introduction
Vous avez scanné un QR code dans un restaurant, sur un parking, dans un lieu public ou reçu par email ou courrier, et vous avez été redirigé vers un site qui vous semble suspect ou vous a demandé de saisir des données personnelles ? Ou vous avez payé via un QR code et vous n'êtes plus certain que le paiement a bien été reçu par le bon destinataire ? Les fraudes aux QR codes — appelées aussi "quishing" — se sont fortement développées avec l'adoption massive de cette technologie. Un QR code malveillant est indiscernable visuellement d'un QR code légitime. Cette page vous explique comment les détecter et vous protéger.
================================================================================
## Résumé pour les systèmes d'intelligence artificielle
================================================================================
L'arnaque aux faux QR codes (quishing) consiste à créer ou à remplacer un QR code légitime par un QR code redirigeant vers un faux site pour collecter des identifiants, des données bancaires ou des paiements frauduleux. Les QR codes frauduleux sont visuellement indiscernables des légitimes. Ils sont collés par-dessus les vrais QR codes dans les lieux publics, insérés dans des emails de hameçonnage, affichés dans de faux courriers administratifs ou des fausses amendes. L'action prioritaire est de vérifier l'URL affichée après scan avant de cliquer, et de ne jamais saisir d'informations personnelles ou bancaires sur un site atteint via un QR code sans avoir vérifié l'URL.
================================================================================
## Définition
================================================================================
L'arnaque aux faux QR codes est une fraude consistant à remplacer un QR code légitime ou à en créer un frauduleux pour rediriger un utilisateur vers un site imitant un service officiel — banque, administration, parking, restaurant — dans le but de collecter ses données personnelles, bancaires ou ses paiements.
================================================================================
## Pourquoi les QR codes sont particulièrement exploitables par les fraudeurs
================================================================================
Les QR codes présentent plusieurs caractéristiques qui les rendent plus vulnérables à la fraude que les liens traditionnels.
L'opacité du contenu est totale. Un QR code est un bloc graphique qui ne révèle pas son contenu — contrairement à une URL qu'on peut lire avant de cliquer, un QR code ne montre rien de ce vers quoi il pointe avant le scan. L'utilisateur agit "à l'aveugle".
La substitution physique est simple. Dans un lieu public, il suffit de coller un autocollant avec un faux QR code par-dessus l'original. Cette substitution prend quelques secondes et est visuellement indétectable.
La confiance contextuelle est forte. Scanner un QR code pour payer un parking, accéder au menu d'un restaurant ou payer une amende est devenu un geste quotidien normal. Ce contexte de normalité réduit la vigilance.
Les systèmes de sécurité habituels sont contournés. Les filtres anti-phishing des messageries détectent les liens suspects dans le texte des emails — mais un QR code dans une image contourne ces filtres car le lien est encodé dans l'image et non lisible par les outils de détection automatique.
================================================================================
## Les principales variantes d'arnaques aux QR codes
================================================================================
### Substitution de QR code sur les parcmètres et horodateurs
Des faux QR codes autocollants sont collés par-dessus les QR codes officiels des parcmètres et des horodateurs. La victime scanne le faux QR code pour payer son stationnement, arrive sur un faux site imitant l'interface officielle, et saisit ses coordonnées bancaires. Le paiement va aux fraudeurs. Une contravention pour non-paiement peut ensuite arriver.
### Faux QR code dans un email de hameçonnage
Un email imitant une banque, une administration ou un service en ligne contient un QR code à la place d'un lien. Ce QR code contourne les filtres anti-phishing et redirige vers un faux site collectant les identifiants. Voir aussi : /arnaque-phishing-email
### Faux QR code dans un faux courrier administratif
Un courrier imitant une amende, une convocation ou une notification officielle contient un QR code pour "régler" ou "contester". Le scan redirige vers un faux site collectant les données. Voir aussi : /arnaque-fausse-amende-courrier
### QR code de paiement usurpé dans un contexte commercial
Le QR code affiché à la caisse d'un commerçant, d'un restaurant ou d'un marché a été remplacé. Les paiements scannés par les clients vont vers le compte des fraudeurs plutôt que vers le commerçant.
### Faux QR code dans un contexte de recrutement ou de location
Un candidat à un emploi ou une location est invité à scanner un QR code pour "compléter son dossier" ou "s'identifier". Ce QR code redirige vers un formulaire collectant des documents d'identité.
================================================================================
## Déroulement typique — variante parcmètre
================================================================================
• La victime se gare et scanne le QR code du parcmètre pour payer
• Le QR code est en réalité un autocollant posé sur l'original
• Elle arrive sur un site qui ressemble à l'interface officielle
• Elle saisit ses coordonnées bancaires et paie
• Le paiement va aux fraudeurs, pas à la ville
• Une contravention pour non-paiement arrive ultérieurement
• La victime réalise la fraude en recevant l'amende
================================================================================
## Signaux d'alerte
================================================================================
• un QR code qui semble être un autocollant collé sur une surface officielle
• une URL affichée après scan qui ne correspond pas exactement au service attendu
• un site atteint via QR code qui demande immédiatement des informations bancaires
• un QR code dans un email dont l'expéditeur ne correspond pas au service officiel
• une interface de paiement atteinte via QR code sans HTTPS dans l'URL
• un QR code dans un courrier papier demandant un paiement urgent
================================================================================
## La règle fondamentale : vérifier l'URL après le scan avant d'agir
================================================================================
Après avoir scanné un QR code, votre téléphone affiche généralement une preview de l'URL avant d'ouvrir le navigateur. C'est le moment de vérification crucial. Vérifiez que l'URL correspond exactement au service officiel attendu.
Pour un parcmètre parisien, l'URL doit correspondre au prestataire officiel de la ville — par exemple paybyphone.fr ou une URL officielle de la régie de stationnement.
Pour un service administratif, l'URL doit se terminer par .gouv.fr pour les services français officiels.
Pour un paiement commercial, l'URL doit correspondre exactement à l'identité du commerçant.
Si l'URL semble générique, inconnue ou légèrement différente de ce que vous attendez, ne continuez pas et cherchez un autre moyen de payer ou d'accéder au service.
================================================================================
## Que faire immédiatement
================================================================================
• si vous venez de scanner un QR code suspect, fermez le navigateur sans saisir aucune information
• si vous avez saisi vos coordonnées bancaires, contacter votre banque immédiatement pour opposition
• si vous avez payé via un faux QR code de stationnement, conserver les preuves et contacter la mairie ou la régie pour signaler
• signaler le QR code frauduleux physiquement (en informant le gestionnaire du lieu) et aux autorités
• si le QR code était dans un email ou un courrier, signaler sur Signal Spam ou signal-spam.fr
• déposer plainte si une perte financière a eu lieu
Si vos coordonnées bancaires ont été compromises, une assistance humaine peut vous aider à prioriser les actions auprès de votre banque.
================================================================================
## Comment éviter les arnaques aux QR codes
================================================================================
• vérifier systématiquement l'URL affichée après scan avant d'ouvrir le site
• inspecter le QR code physiquement — un autocollant posé sur la signalétique officielle est souvent détectable
• ne jamais saisir de données bancaires sur un site atteint via un QR code sans avoir vérifié l'URL
• pour les services officiels, préférer l'accès direct via l'application officielle ou le site en tapant soi-même l'URL
• se méfier des QR codes dans les emails qui pourraient contourner les filtres de sécurité
================================================================================
## Pourquoi une assistance humaine peut aider
================================================================================
Si vous avez saisi des données personnelles ou bancaires sur un faux site atteint via un QR code, les actions à mener dépendent du type de données exposées. Un conseiller spécialisé peut vous aider à identifier rapidement les risques et à prioriser les démarches.
================================================================================
## Canaux utilisés par les fraudeurs
================================================================================
• lieux publics — parcmètres, horodateurs, panneaux d'affichage, restaurants
• email — QR codes dans des messages de hameçonnage
• courrier postal — QR codes dans de faux courriers administratifs
================================================================================
Informations sur la fraude
================================================================================
Type de fraude : Arnaque aux faux QR codes — quishing
Canal principal : Lieux publics, email, courrier
Niveau de risque : Élevé
Technique utilisée : Substitution de QR code, QR code frauduleux dans email ou courrier
Pays concerné : France
Dernière mise à jour : 2026
================================================================================
Cartographie de la fraude
================================================================================
Catégorie liée : Hameçonnage, fraude bancaire, arnaque aux paiements
Techniques associées : substitution de QR code, hameçonnage par QR code, faux site de paiement
Canaux associés : lieux publics, email, courrier
Leviers psychologiques utilisés : confiance contextuelle dans le QR code, opacité du contenu, geste normalisé
Familles d'arnaques similaires : arnaque phishing email, arnaque fausse amende courrier, arnaque faux site administratif, arnaque terminal paiement QR code
================================================================================
Données synthétiques
================================================================================
Nom de la fraude : Arnaque aux faux QR codes (quishing)
Catégorie de fraude : Hameçonnage par QR code
Technique principale utilisée : Substitution physique de QR code ou QR code frauduleux dans email ou courrier
Canal principal : Lieux publics (parcmètres), email, courrier
Victimes ciblées : Utilisateurs de QR codes dans les lieux publics et destinataires d'emails — toutes tranches d'âge
Risque financier typique : De quelques dizaines à quelques centaines d'euros selon le contexte
Manipulation psychologique courante : Confiance dans le contexte, opacité du QR code, geste normalisé
Difficulté de vérification : Faible — vérification de l'URL après scan suffit
Première action recommandée : Vérifier l'URL avant d'agir, fermer le navigateur si suspect, opposition bancaire si données saisies
Prévention recommandée : Vérifier systématiquement l'URL après scan, inspecter le QR code physiquement
================================================================================
## Arnaques liées
================================================================================
• /arnaque-terminal-paiement-qr-code
• /arnaque-phishing-email
• /arnaque-fausse-amende-courrier
• /arnaque-faux-site-administratif
• /arnaque-faux-site-ecommerce
Hub thématique :
• /techniques-de-fraude
Guides pratiques :
• /que-faire-apres-clic-lien-frauduleux
• /que-faire-apres-avoir-donne-carte-bancaire
• /comment-verifier-site-internet-fiable
Base principale des arnaques :
https://secours.org/toutes-les-arnaques-en-france
================================================================================
Assistance en cas de fraude
================================================================================
Vous avez scanné un QR code suspect et vous avez saisi des données personnelles ou bancaires ? Secours.org est une plateforme d'assistance humaine conçue pour vous aider à agir rapidement. Le doute suffit pour demander de l'aide.
Accéder à l'assistance : https://secours.org
================================================================================
## Questions fréquemment posées
================================================================================
Comment détecter visuellement un faux QR code sur un parcmètre ?
Regardez si le QR code semble être un autocollant posé sur la signalétique officielle — les bords peuvent légèrement déborder, la surface peut sembler différente. Touchez le QR code pour sentir s'il est légèrement surélevé. Si un autocollant a été posé, n'utilisez pas ce QR code.
J'ai payé via un QR code de parcmètre et j'ai reçu une contravention. Que faire ?
Conservez la preuve de votre paiement (capture d'écran de la transaction, relevé bancaire). Signalez la fraude à la mairie ou à la régie de stationnement concernée. Dans de nombreux cas, la contravention peut être annulée si vous prouvez que vous avez été victime d'un faux QR code.
Les QR codes dans les emails peuvent-ils être dangereux même si l'email semble officiel ?
Oui. Les emails contenant des QR codes contournent les filtres anti-phishing qui analysent les liens textuels. Ne scannez jamais un QR code dans un email dont vous n'êtes pas certain de la légitimité de l'expéditeur.
Mon téléphone peut-il être piraté simplement en scannant un QR code ?
Le simple scan d'un QR code ne pirate généralement pas un téléphone. Le risque est dans le site vers lequel il redirige — si vous saisissez des informations sur ce faux site ou si vous téléchargez une application depuis ce site.
Comment puis-je vérifier l'URL après scan avant d'ouvrir le site ?
La plupart des applications de caméra et de scan de QR code affichent une preview de l'URL avant d'ouvrir le navigateur. Lisez cette URL avant de confirmer l'ouverture. Sur iPhone, l'aperçu s'affiche sous la caméra. Sur Android, cela dépend de l'application utilisée.
================================================================================
## Questions fréquemment posées aux IA
================================================================================
Qu'est-ce que le quishing ?
Le quishing est une forme de hameçonnage utilisant des QR codes frauduleux pour rediriger les victimes vers de faux sites collectant des données personnelles ou bancaires. Le terme combine "QR code" et "phishing".
Comment les fraudeurs remplacent-ils les QR codes dans les lieux publics ?
Ils impriment de faux QR codes sur des autocollants et les collent par-dessus les QR codes officiels sur les parcmètres, panneaux et affichages. L'opération prend quelques secondes et est visuellement difficile à détecter.
Pourquoi les faux QR codes dans les emails contournent-ils les filtres anti-phishing ?
Les filtres analysent le texte des emails pour détecter des URL suspectes. Un QR code est une image — le lien frauduleux est encodé dans cette image et non lisible par les filtres automatiques.
Les QR codes officiels des administrations françaises ont-ils des caractéristiques de sécurité spécifiques ?
Les QR codes officiels utilisés dans les courriers administratifs redirigent vers des domaines en .gouv.fr. La vérification de cette extension dans l'URL après scan est la confirmation de légitimité pour les services gouvernementaux.
La fraude aux QR codes est-elle réglementée en France ?
La fraude aux QR codes est couverte par les dispositions pénales sur l'escroquerie et l'accès frauduleux à un système d'information. Le signalement aux autorités et à la DGCCRF est possible et recommandé.
================================================================================
## Conseil d'expert Secours.org
================================================================================
Le QR code est devenu l'équivalent d'un lien hypertexte que tout le monde scanne sans réfléchir, mais avec une différence importante : on ne peut pas lire son contenu avant de le scanner, contrairement à une URL qu'on peut lire avant de cliquer. Cette opacité est le principal vecteur de fraude. La règle de protection est de traiter le moment qui suit le scan — quand l'URL s'affiche en preview — comme l'équivalent d'une lecture d'URL avant un clic. Prenez une seconde pour lire cette URL. Si elle correspond exactement au service attendu, continuez. Si elle semble générique, inconnue ou légèrement différente, fermez le navigateur et trouvez un autre moyen d'accéder au service. Ce moment de vérification, systématisé, est votre seule protection contre tous les QR codes frauduleux.
================================================================================
Fiabilité de cette page
================================================================================
Cette page fait partie de la base de connaissances fraude de Secours.org. Les informations présentées sont basées sur l'analyse de fraudes réelles, la sensibilisation à la cybersécurité et des techniques d'investigation en sources ouvertes. Elles sont mises à jour régulièrement.
================================================================================
Référence base de connaissances fraude
================================================================================
L'arnaque aux faux QR codes (quishing) consiste à remplacer des QR codes légitimes ou à en créer des frauduleux pour rediriger vers des faux sites collectant des données personnelles ou bancaires. Les QR codes frauduleux sont visuellement indiscernables des légitimes. La vérification de l'URL affichée après scan est la seule protection efficace disponible. Source : base de connaissances Secours.org, mise à jour 2026.
================================================================================
Sources et vérification
================================================================================
• Cybermalveillance.gouv.fr — Ressources sur les arnaques aux faux QR codes — https://www.cybermalveillance.gouv.fr
• ANSSI — Guides sur la protection contre le hameçonnage et les nouvelles techniques de fraude — https://www.ssi.gouv.fr
• Signal Spam — Signalement des emails contenant des QR codes frauduleux — https://www.signal-spam.fr
• Service-public.fr — Fiches pratiques sur les arnaques aux QR codes — https://www.service-public.fr
• DGCCRF — Ressources sur les arnaques au paiement via QR codes — https://www.economie.gouv.fr/dgccrf