Flasher un QR code pour payer son stationnement ou consulter un menu au restaurant pourrait vous coûter cher. Face à l'explosion du "quishing" — l'arnaque aux faux QR codes —, la gendarmerie tire la sonnette d'alarme ce 12 août 2026.

Un piège qui exploite un réflexe quotidien

Que ce soit pour lire le menu d'un restaurant en terrasse, recharger un véhicule électrique ou payer un horodateur lors d'une virée en Espagne, scanner un QR code est devenu automatique. Les escrocs exploitent cette habitude : ils collent un faux QR code par-dessus l'officiel. Ce dernier redirige la victime vers un site frauduleux qui aspire ses identifiants bancaires.

"Le premier conseil, c'est de vérifier que le QR code n'est pas un simple autocollant placé sur un autre", alerte le lieutenant Eddy Rouf, chef du bureau prévention de l'UNCyber. "S'il y a un autre QR code en dessous, c'est plutôt mauvais signe."

À lire aussi : Les QR codes piégés sont collés sur les bornes de recharge : attention à cette nouvelle arnaque qui vise les conducteurs de voitures électriques, des victimes privées de leur carte bancaire

Plus de 800 procédures pénales en cours

L'UNCyber recense déjà plus de 800 procédures pénales en France pour escroquerie au QR code. Si la récente alerte a été initiée par la gendarmerie de la Somme et que des cas ont frappé le Loiret, le risque s'étend à tout le territoire. La plateforme gouvernementale Cybermalveillance confirme la menace : les escrocs jouent sur notre difficulté à repérer les liens frauduleux sur un écran de smartphone. De faux avis de contravention sur les pare-brise et de fausses notifications postales utilisent également cette technique.

Les bons réflexes avant de scanner

Avant de flasher, passez le doigt sur le support (borne de paiement, table de café) pour détecter la surépaisseur d'un éventuel autocollant suspect.

Surtout, une fois le lien généré, prenez le temps de lire l'URL affichée par votre téléphone. Si l'adresse d'un service public français ne se termine pas par ".gouv.fr", ou que le site d'un commerce affiche une extension étrangère étrange (comme ".ru" ou ".xyz"), fermez immédiatement la page.

En cas de doute, la consigne reste simple : ne scannez rien. Les victimes peuvent signaler les faits sur le portail masecurite.interieur.gouv.fr ou déposer plainte auprès de leur gendarmerie locale.