Quishing : l’arnaque au QR code
Le quishing consiste à détourner un QR code (sur un horodateur, un faux PV, un courrier) vers une page de paiement frauduleuse.
Dernière mise à jour : 20 juin 2026
« QR code collé sur un horodateur : « Payez votre stationnement en ligne, sans monnaie — scannez ici. » Après le scan, la page réclame votre numéro de carte complet. »
Pourquoi le QR code inspire confiance
Un QR code ne laisse pas voir sa destination : impossible de « survoler » le lien comme sur un ordinateur. Les fraudeurs en profitent pour coller de faux QR codes sur des supports officiels (horodateurs, bornes) ou dans des courriers imités.
Après le scan, la page reproduit l’identité d’un service public ou d’une marque et réclame directement vos coordonnées bancaires. Le contexte (payer son stationnement, une amende) rend la demande plausible.
Scanner sans se faire piéger
Après tout scan, vérifiez l’URL affichée avant de saisir quoi que ce soit : un domaine qui ne correspond pas au service officiel doit vous arrêter. Sur un support public, assurez-vous que le QR code n’est pas un autocollant ajouté par-dessus.
Dans le doute, n’utilisez pas le QR code : passez par l’application officielle ou tapez vous-même l’adresse du service concerné.
- Un QR code collé/ajouté sur un support public.
- Une page de paiement qui réclame des données bancaires après le scan.
- Une URL qui ne correspond pas au service officiel.
- Après scan, vérifiez l’URL affichée avant de saisir quoi que ce soit.
- Préférez l’application ou le site officiel pour payer.
- Dans le doute, ne scannez pas et renseignez-vous auprès de l’organisme.
Comment savoir si un QR code est piégé ?
Après le scan, vérifiez l’URL affichée avant toute saisie. Un domaine qui ne correspond pas au service officiel est un signal d’alerte.
Où le quishing sévit-il le plus ?
Sur les horodateurs, les faux avis de PV glissés sous les essuie-glaces, les courriers et les affiches. Préférez toujours l’application ou le site officiel.