Vous arrivez à une borne, scannez le QR code et ouvrez une page qui propose de payer. Le geste paraît lié à l’équipement placé devant vous. Pourtant, le code peut être un autocollant ajouté par quelqu’un d’autre. La proximité physique ne prouve pas que le lien appartient à l’exploitant.
Cette fraude, appelée quishing, utilise la commodité du QR code pour éviter la saisie d’une adresse. Cybermalveillance.gouv.fr et les services publics décrivent notamment le remplacement de codes légitimes par des codes frauduleux. Le piège ne réside pas dans les petits carrés eux-mêmes, mais dans la destination qu’ils désignent et l’action qu’on vous demande ensuite.
Le code est un raccourci, pas une authentification
Un QR code peut contenir une adresse ou d’autres informations interprétées par une application. Lorsqu’il ouvre une page web, il n’établit pas à lui seul l’identité de son propriétaire. Le logo, les couleurs et la photographie de la borne peuvent être reproduits sur une fausse page. Le design familier est facile à imiter, même lorsque l’équipement réel est parfaitement légitime.
Une page frauduleuse peut réclamer les coordonnées de carte, demander une connexion à un compte ou pousser au téléchargement d’une application. Selon le mécanisme, l’objectif peut être de collecter des informations ou d’obtenir un paiement. Il serait donc réducteur de chercher uniquement un bénéficiaire inconnu dans l’écran final : certains pièges interviennent avant toute opération bancaire visible.
Le simple scan n’équivaut pas automatiquement à un débit ou à une compromission du téléphone.
Les risques dépendent de ce qui est ouvert, téléchargé, saisi et autorisé. Cette distinction aide à réagir sans paniquer tout en interrompant une demande suspecte avant qu’elle progresse.
Regarder l’équipement avant la page
Cherchez les traces d’un autocollant ajouté, un code recouvert ou une signalétique incohérente. Un bord qui se soulève n’est pas une preuve suffisante, car un exploitant peut utiliser lui aussi des étiquettes. Mais un code placé par-dessus un autre justifie de suspendre le paiement et de contacter l’opérateur par un moyen indépendant.
Ne décollez pas vous-même un élément de la borne pour enquêter. Prenez éventuellement une photo destinée au signalement, sans données personnelles visibles, puis utilisez le contact officiel connu ou indiqué sur un autre support vérifiable. Le numéro imprimé sur l’autocollant suspect peut appartenir au même dispositif de fraude.
Lorsque l’application officielle déjà installée permet de sélectionner la borne par son identifiant, ce parcours peut éviter le lien collé. Vérifiez tout de même le numéro de l’équipement et les informations de la session.
La bonne application ouverte sur la mauvaise borne produirait une autre erreur, sans lien avec l’hameçonnage.
Lire la destination et l’opération
La plupart des lecteurs affichent une destination avant l’ouverture. Prenez ce temps, puis regardez l’adresse effectivement ouverte dans le navigateur. Une redirection peut la changer. Un domaine contenant le nom d’une marque n’appartient pas nécessairement à cette marque : l’ensemble de l’adresse compte, particulièrement le domaine réel.
Un lien court ou une adresse difficile à interpréter n’établit pas à lui seul une fraude. Il rend simplement le contrôle moins direct. Si vous ne pouvez pas confirmer la destination, changez de parcours : application officielle, site saisi manuellement ou autre moyen de paiement proposé par l’exploitant.
Avant validation, vérifiez le montant, le service acheté et les informations disponibles sur le commerçant. Une demande d’authentification bancaire peut confirmer une opération, pas la légitimité de la page qui vous y a conduit. N’approuvez pas une notification dont le montant ou le contexte diffère de ce que vous voulez payer. Une page affichant ensuite un faux échec ne justifie pas de recommencer plusieurs fois avec d’autres cartes.
Les demandes qui doivent interrompre le parcours
Une borne de paiement n’a pas de raison générale d’exiger le mot de passe de votre messagerie. Une demande d’installation inconnue, d’autorisation inhabituelle ou de transmission d’un code reçu hors contexte mérite un arrêt. Le besoin réel dépend du service, mais la cohérence de la demande reste vérifiable sans posséder de connaissances techniques avancées.
L’urgence est un facteur classique : stationnement à régler, batterie de véhicule faible ou file d’attente. Prévoyez quand c’est possible l’application ou le moyen officiel avant le déplacement. Cela diminue la pression au moment où une page douteuse affirme être l’unique solution disponible.
Après une saisie suspecte, agir selon l’exposition
Si vous avez seulement ouvert une page, fermez-la et conservez les éléments utiles au signalement. Si vous avez fourni un mot de passe, changez-le depuis le service officiel sur un appareil de confiance et examinez les accès du compte. S’il était réutilisé, les autres comptes concernés doivent aussi être traités.
Si vous avez communiqué des données bancaires ou validé un paiement suspect, contactez rapidement votre banque par ses coordonnées officielles. Décrivez les faits et suivez sa procédure. Ne faites pas confiance à une personne qui vous appelle ensuite pour « annuler » l’opération en réclamant de nouveaux codes ou validations.
Prévenez également l’exploitant de la borne avec son emplacement et l’identifiant de l’équipement. Le renseignement utile est concret : où se trouve le code et vers quoi il conduit. Un QR code doit rester un raccourci pratique ; au moment de payer, c’est toujours la destination et l’opération que vous autorisez.
