Arnaque QR code : faux parcmètres, faux menus… les pièges qui vident votre compte

Faux parcmètres, faux menus : le piège du quotidien

Vous arrivez au parking, pressé, et un autocollant vous invite à « scanner pour payer ». Le QR code semble propre, bien placé, rassurant. Ne scannez pas un QR code collé sur un parcmètre sans vérifier la source sur l’horodateur. Un simple scan peut lancer une chaîne de fraude bien rodée.

Au restaurant, la carte se présente via un QR collé sur la table. Le lien vous dirige vers une page qui ressemble au site du resto, mais l’adresse varie à peine. Les imitateurs misent sur la confiance et la fatigue d’un dîner tardif pour vous faire saisir vos données.

Dans la rue, sur une trottinette ou un vélo en libre-service, même scénario. Un code de location masqué par un sticker attire l’œil. Un QR code n’est pas neutre : il cache une redirection que vous ne voyez pas à l’œil nu. Les fraudeurs l’utilisent pour du « QR phishing » aussi appelé « quishing ».

Ce qui se passe après le scan

Souvent, la page affiche un micro-paiement « 1,90 € pour valider ». On vous propose Apple Pay, Google Pay, ou carte bancaire. Un petit paiement sert d’appât pour récupérer vos identifiants et pousser une validation 3D Secure. Ensuite, les fraudeurs tentent des débits plus forts ou posent un prélèvement récurrent.

« Je pensais payer mon stationnement. En deux minutes, j’avais validé un petit montant… puis j’ai vu trois gros débits. Le QR code était un autocollant. »

Autre variante : la page demande d’installer une app, un fichier APK, ou un profil de configuration. Parfois, elle force une connexion à un wallet crypto via un QR. Ne téléchargez jamais une app après un scan et refusez toute demande de droits système ou d’accès SMS.

• Sticker mal aligné, bulles d’air, ou style qui détonne
• URL longue, domain lookalike, raccourcisseur suspect
• Demande d’identifiants carte, code SMS ou 3D Secure
• Invitation à installer une application ou un profil
• Absence de nom officiel du parking, de la ville ou du restaurant

Reconnaître un faux QR code en 10 secondes

Regardez le support : matière, colle, usure, cohérence graphique. Les horodateurs et menus ont des marquages officiels et des numéros de service. Un autocollant neuf sur un boîtier vieux est suspect. Un autocollant est un signal à traiter avec prudence.

Avant d’ouvrir, activez l’aperçu du lien dans votre smartphone. Vérifiez le domaine complet, pas seulement le cadenas. Regardez le domaine, pas le cadenas : le HTTPS ne garantit pas la légitimité. Méfiez-vous des URL raccourcies et des variantes subtiles de marques.

Comparez avec le parcours attendu. Un paiement de parking renvoie souvent vers l’appli officielle de la ville ou de l’exploitant. Pour un restaurant, un vrai QR mène au domaine du resto ou à un service connu. Un vrai parcours reste cohérent du début à la fin.

En cas de doute, privilégiez la borne physique, le paiement au comptoir, ou l’appli que vous avez déjà installée. Refusez tout formulaire qui réclame carte + code par SMS juste après un scan. Refusez tout formulaire qui exige carte ou code confidentiel sans contexte clair et vérifié.

Parkings, restos, colis : cas concrets

Au parking, les fraudeurs collent un QR au-dessus des consignes. Ils copient la charte graphique de la ville et ajoutent un numéro d’horodateur bidon. Au parking, privilégiez l’appli que vous avez déjà et comparez toujours l’URL avec celle indiquée sur la borne.

Dans les restaurants, un faux menu conduit à une page qui demande un acompte ou l’ajout d’une carte « pour réserver ». Sur les SMS de livraison, un QR promet de reprogrammer le colis, puis lance une page de phishing. Tapez l’adresse vous-même dans le navigateur ou ouvrez l’application du transporteur que vous utilisez d’habitude.

Que faire si vous avez scanné et payé

Agissez vite, dans l’heure. Coupez le réseau si un profil ou une app s’est installé. Supprimez l’app inconnue, révoquez la carte dans Wallet, puis appelez votre banque, demandez l’opposition et le remboursement. Signalez un « QR phishing » ou une fraude carte à l’assureur bancaire.

Changez les mots de passe touchés et activez l’authentification à deux facteurs. Inspectez vos comptes, alertes SMS, et notifications 3D Secure. Changez vos codes au plus vite et fermez les sessions ouvertes sur vos appareils.

Rassemblez des preuves : capture du code, URL, SMS, relevés. Déposez un signalement sur Pharos, transférez les SMS suspects au 33700, et contactez Cybermalveillance.gouv.fr pour l’assistance. Prévenez la mairie, l’exploitant du parking ou le restaurant pour faire retirer le faux QR code. Signaler protège d’autres victimes et augmente vos chances de prise en charge par la banque.