On les trouve sur les parcmètres, les bornes de recharge électrique, les menus des restaurants et même certains avis de passage. Les QR codes ont fini par s'installer partout, et il faut reconnaître qu'ils nous facilitent la vie. Plus besoin de taper une adresse internet à rallonge : on sort son téléphone, on scanne et c'est réglé. Seulement, les escrocs ont compris qu'on leur faisait facilement confiance. Au point que le ministère de l'Économie vient de publier une alerte pour éviter aux Français de se faire avoir.

Dans une fiche publiée ce 1ᵉʳ octobre 2026, Bercy explique qu'un QR code peut conduire vers "un faux site", provoquer le téléchargement d'"un logiciel malveillant" ou inciter l'utilisateur à communiquer ses "données personnelles ou bancaires". Cette fraude porte même un nom : le quishing, contraction de QR code et de phishing, autrement dit l'hameçonnage. Et contrairement à certains SMS frauduleux qui promettent un colis imaginaire ou un remboursement miraculeux, le piège peut ici se trouver sur un équipement parfaitement ordinaire.

Pour éviter de se faire avoir, l'association Age UK donne un conseil très concret dans une publication LinkedIn du 9 septembre : "avant de scanner un QR code, passez le doigt dessus". Elle recommande en effet de rechercher la présence d'un autocollant, car les faux codes présentent souvent "un bord surélevé au-dessus de la surface d'origine", selon la traduction de sa publication. Les escrocs peuvent en effet imprimer leur propre QR code et le coller par-dessus celui de l'exploitant. Bercy confirme cette méthode et conseille de vérifier qu'un autre code ne se cache pas en dessous. Un relief suspect mérite donc qu'on s'arrête, même si tous les autocollants ne sont pas frauduleux.

Cela peut notamment servir lorsqu'on règle son stationnement. Les parcmètres et les bornes de recharge figurent parmi les équipements cités par le ministère. Après avoir scanné un faux code, l'automobiliste peut arriver sur une page qui imite celle d'un véritable opérateur. On lui demande alors son numéro de carte bancaire, sa date d'expiration et son cryptogramme pour régler quelques euros. Sauf qu'au lieu de payer son parking, il transmet ses informations aux fraudeurs, qui peuvent ensuite tenter de les utiliser pour effectuer des paiements non autorisés. Voilà qui risque de faire grimper sérieusement le tarif du stationnement.

Et les automobilistes ne sont pas les seuls concernés. Bercy évoque aussi les faux avis de contravention, les avis de passage, les affiches, les flyers et les menus de restaurants. Pour éviter les mauvaises surprises, Age UK conseille également de "vérifier l'URL", c'est-à-dire l'adresse internet proposée après le scan. Le ministère français est tout aussi catégorique : "Au moindre doute, n'ouvrez pas le lien." Il faut vérifier que le nom de domaine correspond bien au service attendu, plutôt que de se fier uniquement au logo affiché sur la page. Un site frauduleux peut très bien reprendre les couleurs et l'apparence d'une entreprise connue.