Quishing : l’arnaque au QR code sur un pare-brise ou dans une boîte aux lettres

En bref

Le quishing est une arnaque au QR code. Le mot vient de « QR » et de « phishing », l’hameçonnage. Au lieu d’un lien que tu peux lire, on te présente un carré noir et blanc : tu scannes, et ton téléphone t’emmène vers une fausse page. Un QR code est une simple adresse web déguisée, on ne voit pas où il mène avant de l’avoir scanné.

Pourquoi le QR code est un bon outil pour les escrocs

Un lien suspect, on apprend à le regarder. Un QR code, lui, cache sa destination derrière une image. Il passe aussi à travers certains filtres de mails, puisqu’il n’a pas l’air d’un lien. Et comme on scanne depuis son téléphone, on est parfois moins vigilant qu’à l’ordinateur : écran petit, adresse tronquée, geste rapide. Les escrocs en profitent.

Où on peut en croiser

Le quishing apparaît sur de nombreux supports :

• Un papier sous l’essuie-glace : un QR code sur un pare-brise qui annonce une amende ou un stationnement à régler.
• Un faux papier d’amende dans la boîte aux lettres, d’allure officielle.
• Un autocollant posé sur un horodateur ou une borne.
• Un mail ou un SMS qui contient une image de QR code.
• Un faux courrier de livraison ou de facture.

Le déroulé, de l’image à la fausse page

Voici la mécanique générale :

• Tu trouves ou reçois un support qui annonce une amende ou un paiement à faire.
• Il propose de payer « en un instant » en scannant le code.
• Le téléphone ouvre une page imitant un site officiel de paiement.
• Tu saisis ta carte bancaire et parfois un code de validation reçu par SMS.
• L’escroc encaisse ou utilise tes données, tandis que la page affiche une confirmation.

Les signes qui doivent t’alerter

Compare ce que tu vois avec cette liste :

• Un QR code imprimé sur un papier anonyme, sans en-tête fiable.
• Un support qui n’est pas rattaché à un fait précis (lieu, date, immatriculation).
• Un paiement demandé sur-le-champ, sans possibilité de contester.
• Un autocollant qui recouvre un autre QR code.
• Une page qui s’ouvre avec une adresse approximative ou très longue.
• Une menace de majoration si tu ne règles pas immédiatement.

Exemple fictif de papier

Exemple fictif, glissé sous un essuie-glace : « AVIS DE CONTRAVENTION – Régularisez avant majoration en scannant ce QR code. Paiement sécurisé en ligne. » Aucun détail précis n’y figure, et aucune référence cohérente avec ton véhicule.

Comment t’en protéger

Ne scanne pas un code qui t’arrive de façon inattendue, surtout s’il te demande de payer. Si ton téléphone affiche l’adresse avant de l’ouvrir, lis-la attentivement. Si tu penses avoir commis une infraction, passe par le site officiel en tapant l’adresse toi-même, plutôt que par un code.

Si tu as déjà scanné ou payé

Si tu as seulement scanné, ferme la page et ne saisis rien. Si tu as donné ta carte, préviens ta banque pour la faire bloquer et surveille tes opérations. Notre page sur ce qu’il faut faire après une fausse amende détaille les étapes.

Où signaler

Le papier ou le message peut être signalé à une plateforme officielle de signalement. Transfère les SMS au 33700. Dépose plainte auprès de la police ou de la gendarmerie en cas de préjudice, et demande conseil à Cybermalveillance.gouv.fr.

Ce qu’Alix peut faire pour toi

Si tu me décris le papier ou le message reçu, je peux t’indiquer les éléments qui ressemblent à du quishing. Je ne peux pas scanner de code pour toi, je ne donne qu’un indice d’alerte et je ne remplace ni ta banque ni la police.