Phishing par code QR: numérisation éclair, argent disparu
Falsifier un code QR et le coller sur un vrai n’est pas difficile. Au parcmètre, à la borne de recharge ou au restaurant, on scanne sans réfléchir. Surtout en période de vacances et à l’étranger, où l’on ne connaît pas les prestataires et systèmes. Cette méthode s’appelle le phishing par code QR ou quishing: les escrocs vous dirigent vers de fausses pages de paiement, récupèrent les données de votre carte de crédit et en font une utilisation abusive.
En bref
- Le phishing par code QR a quintuplé entre 2023 et 2025.
- Les escrocs collent de faux codes QR sur les vrais, par exemple sur les bornes de recharge, les parcmètres et dans les restaurants, en Suisse comme à l’étranger.
- Collés et non imprimés? C’est le principal signal d’alerte.
- Après avoir scanné, toujours vérifier l’aperçu du lien avant d’appuyer.
À la borne de recharge
Quiconque part en vacances en voiture électrique connaît bien la situation: l’app de recharge ne fonctionne pas, alors on scanne rapidement le code QR sur la borne. C’est justement là-dessus que misent les escrocs. Ils recouvrent les codes avec leurs propres autocollants et vous dirigent vers de fausses pages de paiement.
Au quotidien
Sur des sites de petites annonces comme Tutti ou Ricardo, de prétendus acheteurs se présentent et envoient un code QR, soi-disant pour le «paiement». La personne qui le scanne atterrit sur un site de phishing. Les codes QR peuvent également être recouverts et falsifiés dans les restaurants ou sur les affiches. De plus, de faux codes QR circulent par courrier ou par e-mail, pour prétendument débloquer un compte par exemple.
Au niveau du parcmètre
La prudence doit également être de mise aux parcmètres: un code QR falsifié, une page de paiement d’un réalisme trompeur, et voilà que les données de votre carte de crédit se retrouvent entre des mains étrangères.
Comment se protéger
Avant de scanner, vérifiez si le code QR est imprimé ou collé. Un autocollant au-dessus d’un code existant est un signal d’alerte. Une fois la numérisation effectuée, votre smartphone affiche un aperçu du lien: vérifiez toujours attentivement cette URL avant d’appuyer dessus. Même de petites différences dans le nom de domaine peuvent indiquer une falsification.
En cas d’incident
Bloquez immédiatement votre carte de crédit: dans l’app one ou au +41 58 958 83 83 (24h/24). Signalez les e-mails suspects à internetsecurity@viseca.ch. Activez les notifications push dans l’app one afin de détecter immédiatement les transactions suspectes.
