Arnaque au faux QR code, reconnaître le quishing et que faire

Le faux QR code, ou quishing, un code qui mène à un faux site

En bref. Le quishing est une arnaque dans laquelle un QR code malveillant, imitant un code officiel, vous conduit vers un faux site ou vers un logiciel nuisible. Le but est de vous faire payer ou de recueillir vos données personnelles ou bancaires. Une fois les données transmises, le remboursement par la banque dépend ensuite des faits.

Selon la fiche pratique du site Ma Sécurité du ministère de l'Intérieur sur les cyberattaques, dont les informations ont été mises à jour le 28 juillet 2026, le quishing associe les mots QR code et phishing, c'est-à-dire hameçonnage. Des escrocs fabriquent des QR codes malveillants qui imitent un QR code officiel, par exemple celui d'une banque. Le code mène à un faux site, ou propose de télécharger un logiciel nuisible, dans le but de voler des données personnelles, notamment bancaires.

L'Institut national de la consommation (INC), dans un article publié le 22 septembre 2025 avec la Banque de France, décrit le mécanisme de la même façon. Le scan du code conduit vers un site qui ressemble au site officiel et qui demande un paiement ou des coordonnées personnelles ou bancaires.

Cet article ne met en cause aucune entreprise ni aucun organisme, dont l'image peut être imitée par les escrocs. Il présente comment reconnaître le quishing, cette arnaque au faux QR code, les gestes à accomplir si vous avez scanné un code, saisi des données ou payé, puis ce que prévoit le Code monétaire et financier pour vos recours. Le détail des démarches après un clic ou une communication de données est traité dans notre article sur l'hameçonnage par SMS, e-mail ou appel. Le cas d'un interlocuteur au téléphone est traité dans notre article sur le faux conseiller bancaire.

Où trouve-t-on les faux QR codes ?

En bref. Selon l'INC, les faux codes sont collés par-dessus de vrais codes dans des lieux publics, ou apparaissent dans de faux avis de passage ou des courriels frauduleux. Un QR code ne permet pas de lire à l'avance l'adresse vers laquelle il conduit.

L'article de l'INC du 22 septembre 2025 cite les situations suivantes.

• Sur les bornes de recharge de véhicules électriques, où des escrocs collent leur propre code à la place du vrai.
• Sur les tables de restaurant, selon le même procédé.
• Dans un faux avis de passage, selon l'INC, qui imite l'avis d'un opérateur postal dont le nom est usurpé par les escrocs.
• Dans un courriel frauduleux, par exemple un faux avis de contravention.

Le scénario du faux avis de passage rejoint celui des faux messages de livraison, que présente notre article sur l'arnaque au faux colis. Les sources officielles lues pour cet article ne chiffrent pas l'ampleur du phénomène, et nous ne donnons donc aucune statistique.

Comment s'en protéger et reconnaître le piège

En bref. Le réflexe officiel consiste à vérifier l'adresse du site vers lequel le code redirige, et à s'abstenir au moindre doute. Ne saisissez jamais d'informations bancaires sur un site dont l'adresse ne correspond pas à l'organisme attendu.

• Un signe d'alerte. Selon Ma Sécurité, une redirection vers une adresse inattendue ou douteuse est un indice qu'il s'agit d'un code malveillant.
• Vérifier l'adresse. Les deux sources conseillent de contrôler l'adresse du site vers lequel le code redirige. Selon l'INC, il faut s'assurer qu'elle correspond bien à l'organisme attendu et que le site est sécurisé.
• S'abstenir en cas de doute. La fiche de Ma Sécurité formule le conseil ainsi, « Au moindre doute, abstenez-vous de scanner le QR code ». Selon l'INC, en cas de doute, il ne faut saisir aucune information personnelle ou bancaire.
• Ne jamais transmettre un numéro de carte par SMS, comme le rappelle la fiche de Ma Sécurité dans ses conseils de prévention contre les messages frauduleux.

Un code collé sur un support dans un lieu public, ou reçu dans un message inattendu, appelle la même prudence. Pour une démarche officielle, le plus sûr est de saisir vous-même l'adresse du site de l'organisme dans votre navigateur, ou d'utiliser l'application que vous avez déjà installée, plutôt que de passer par un code dont vous ne pouvez pas contrôler la destination. Cette précaution relève du bon sens et n'est pas formulée en ces termes par les sources officielles lues.

Si vous avez scanné un code ou saisi des données, les premiers gestes

En bref. Les sources officielles lues ne détaillent pas de procédure propre au quishing. Les gestes ci-dessous combinent leurs conseils généraux et le Code monétaire et financier, et leur ordre dépend de ce que vous avez fait.

La fiche de Ma Sécurité ne décrit pas de procédure précise pour la personne qui a scanné un code, donné des données ou payé. Elle renvoie vers une fiche consacrée à la conduite à tenir en cas d'hameçonnage et vers le dispositif 17 Cyber, sans en détailler le contenu. L'article de l'INC ne traite pas non plus des démarches de la victime. Notre lecture des gestes utiles, à partir des textes ci-dessous, est la suivante.

1. Si vous avez seulement scanné le code, sans rien saisir ni installer, quittez la page. Si vous avez installé un logiciel proposé par le site, l'objectif signalé par la fiche étant de diffuser un logiciel nuisible, mettez votre appareil à l'abri, changez vos mots de passe depuis un autre appareil sain et suivez notre article sur l'hameçonnage cité plus haut.
2. Si vous avez saisi vos données bancaires, informez sans tarder votre banque aux fins de blocage de votre carte, ce que l'on appelle couramment faire opposition (article L133-17, I). Le Code monétaire et financier prévoit qu'après cette information, le payeur ne supporte aucune conséquence financière résultant de l'utilisation de l'instrument de paiement ou de l'utilisation détournée des données qui lui sont liées, sauf agissement frauduleux de sa part (article L133-20). Cette protection vaut pour la suite, et les opérations déjà passées relèvent de l'analyse décrite plus bas. Notez l'heure et le moyen de contact utilisés.
3. Si vous avez saisi un mot de passe ou des identifiants, changez-les sans attendre, ainsi que ceux que vous réutilisiez ailleurs.
4. Relisez vos relevés et l'historique de votre application bancaire pour repérer toute opération que vous ne reconnaissez pas, y compris de faibles montants.
5. Contestez par écrit chaque opération non reconnue auprès de votre banque, en gardant la preuve de la date d'envoi (voir la section sur le remboursement).
6. Conservez les preuves, c'est-à-dire une photographie du support où figurait le code, les captures d'écran de la page, le message ou le courriel reçu, les relevés et les confirmations de paiement. Notre article sur la preuve d'un litige de consommation en détaille la valeur.
7. Déposez plainte si une demande d'argent vous a été faite (voir la section suivante).

Porter plainte, la plainte en ligne et ses conditions

En bref. Selon Ma Sécurité, la plainte en ligne sur THESEE n'est possible que si une demande d'argent a été faite, sans qu'un paiement effectif soit nécessaire. Vous pouvez aussi vous rendre au commissariat ou à la gendarmerie.

La fiche de Ma Sécurité (informations mises à jour le 28 juillet 2026) indique que, pour une escroquerie sur internet, vous pouvez déposer plainte en ligne via THESEE uniquement si l'escroc a demandé de l'argent. Un paiement ou un encaissement n'a pas besoin d'avoir eu lieu. Vous pouvez également prendre rendez-vous auprès de la police pour déposer plainte, ou vous rendre directement dans n'importe quel commissariat ou gendarmerie.

La fiche mentionne aussi, à propos des appels indésirables, que les numéros suspects peuvent être signalés par SMS au 33700. Cette mention ne concerne pas spécifiquement les QR codes. Elle figure dans la même fiche, au titre des conseils contre les messages et appels frauduleux.

Les auteurs de ces arnaques sont le plus souvent difficiles à identifier, et ni le délai de traitement d'une plainte ni le recouvrement des sommes ne peuvent être garantis. Les sources officielles lues ne précisent pas si la banque exige une copie de la plainte. L'article L133-18 ne subordonne pas le remboursement à une plainte, de sorte que, à titre pratique et selon notre lecture, il est utile de contester l'opération par écrit sans attendre et de transmettre la plainte dès que vous l'avez.

Être remboursé par sa banque, ce que prévoit le Code monétaire et financier

En bref. Une opération que vous n'avez pas autorisée doit en principe être remboursée rapidement. En cas de faux QR code, la banque peut soutenir que vous avez vous-même consenti au paiement, et la qualification de l'opération dépend des faits.

Ce qui suit vient de la loi, et non des deux pages officielles sur le quishing, qui ne traitent pas des droits de la victime vis-à-vis de sa banque. Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution (article L133-6, I). Le consentement est donné sous la forme convenue entre le payeur et son prestataire de services de paiement, et en l'absence d'un tel consentement, l'opération est réputée non autorisée (article L133-7). La responsabilité du payeur n'est pas engagée si l'opération non autorisée a été effectuée en détournant, à son insu, l'instrument de paiement ou les données qui lui sont liées (article L133-19, II).

Les textes que nous avons lus ne disent pas comment qualifier un paiement effectué sur un faux site après un faux QR code. Les situations varient selon ce qui a été fait, et seul l'examen des faits permet de trancher.

Pour une opération non autorisée signalée dans les conditions de l'article L133-24, la banque rembourse le montant de l'opération immédiatement après en avoir pris connaissance ou en avoir été informée, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf si elle a de bonnes raisons de soupçonner une fraude de l'utilisateur et si elle communique ces raisons par écrit à la Banque de France. Elle rétablit, le cas échéant, le compte débité dans l'état où il se serait trouvé sans l'opération (article L133-18). En cas de manquement, les sommes dues produisent intérêt au taux légal majoré de cinq points, de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours de retard (même article). Ce remboursement n'empêche pas la banque, si elle estime que vous avez manqué par négligence grave à vos obligations, d'en apporter la preuve conformément aux articles L133-19, IV, et L133-23.

Le signalement de l'opération doit être fait sans tarder, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion, à moins que la banque ne vous ait pas fourni ou mis à disposition les informations relatives à l'opération (article L133-24). Les treize mois sont un maximum, et agir vite protège vos droits.

Si l'escroc a obtenu un virement que vous avez ordonné vous-même, ou un paiement que vous avez saisi sur le faux site, la question de savoir si l'opération est autorisée se pose avec plus d'acuité. Les textes lus ne donnent pas de réponse automatique, et nous ne pouvons pas dire à l'avance comment votre banque ou un juge l'apprécierait. Notre article sur le faux site de vente en ligne présente un autre cas de paiement volontaire obtenu par tromperie.

La négligence grave, que la banque peut invoquer mais doit prouver

En bref. La banque peut vous opposer un manquement par négligence grave à vos obligations de sécurité, l'appréciation relevant des juges au vu des circonstances. C'est à elle d'en apporter la preuve, et le texte ne la déduit pas automatiquement de l'utilisation de la carte.

Le payeur supporte toutes les pertes occasionnées par des opérations non autorisées si elles résultent d'un agissement frauduleux de sa part, ou s'il n'a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L133-16 et L133-17 (article L133-19, IV). L'article L133-16 impose de prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées, et l'article L133-17 d'informer sans tarder son prestataire en cas d'utilisation non autorisée.

Lorsque vous niez avoir autorisé une opération exécutée, il incombe à la banque de prouver que l'opération a été authentifiée, dûment enregistrée et comptabilisée et qu'elle n'a pas été affectée par une déficience technique ou autre. L'utilisation de l'instrument de paiement telle qu'enregistrée par la banque ne suffit pas nécessairement à prouver que l'opération a été autorisée ou que vous avez manqué par négligence grave à vos obligations, et la banque fournit des éléments afin de prouver la fraude ou la négligence grave (article L133-23). Ces textes ne définissent pas la négligence grave. Vous pouvez demander par écrit à votre banque les éléments sur lesquels elle fonde un refus. La manière dont le faux code vous a été présenté, par exemple sur un support qui paraissait officiel, est une circonstance à exposer précisément dans votre réclamation, sans qu'il soit possible de dire à l'avance comment elle sera appréciée.

Si la banque refuse ou ne répond pas, les recours possibles

En bref. Écrivez d'abord à votre banque, puis saisissez gratuitement le médiateur si le litige persiste. L'escroc, qui n'est pas identifié, ne relève pas de la médiation.

1. La réclamation écrite. Les prestataires de services de paiement répondent aux réclamations dans les meilleurs délais et au plus tard dans les quinze jours ouvrables suivant la réception. Dans des situations exceptionnelles, une réponse d'attente motivée est envoyée avec la date ultime de la réponse définitive, qui intervient au plus tard trente-cinq jours ouvrables après la réception. Lorsque l'utilisateur est un consommateur, la banque l'informe d'au moins une instance de règlement extrajudiciaire compétente (article L133-45). Notre article sur la mise en demeure par lettre recommandée présente la forme d'un courrier.
2. La médiation. Tout consommateur a le droit de recourir gratuitement à un médiateur pour un litige qui l'oppose à un établissement de crédit, un établissement de paiement ou un établissement de monnaie électronique, relatif aux services fournis, dans les conditions prévues par le Code de la consommation (article L316-1 du Code monétaire et financier). Le médiateur ne peut pas examiner votre litige si vous n'avez pas d'abord tenté de le résoudre par une réclamation écrite auprès de votre banque, si le litige a déjà été examiné ou est en cours d'examen par un autre médiateur ou par un tribunal, ou si vous le saisissez plus d'un an après cette réclamation écrite (article L612-2 du Code de la consommation). Notre article sur la médiation de la consommation détaille la démarche.
3. Le tribunal, si la médiation n'aboutit pas. Le choix de la juridiction dépend du montant et de la nature du litige. Si le litige porte sur une somme n'excédant pas 5 000 euros, la demande en justice doit en principe être précédée d'une tentative de conciliation par un conciliateur de justice, d'une médiation ou d'une procédure participative, sous peine d'irrecevabilité, avec des dispenses limitées, par exemple en cas d'urgence manifeste (article 750-1 du Code de procédure civile). Les actions personnelles se prescrivent en principe par cinq ans à compter du jour où l'on a connu ou aurait dû connaître les faits (article 2224 du Code civil). Ce délai est distinct du délai de treize mois pour signaler l'opération à la banque (article L133-24) et ne le remplace pas.

L'issue d'un litige avec une banque ne peut pas être garantie.

Jurisprudence

Cet article ne cite aucune décision de justice. Nous n'avons pas consulté à la source de décision portant spécifiquement sur le faux QR code, et nous préférons ne pas en citer une que nous n'aurions pas lue.

Les démarches concrètes

• avant de scanner un code, vérifiez l'adresse vers laquelle il redirige, et abstenez-vous au moindre doute ;
• ne saisissez jamais de numéro de carte ni d'identifiants sur un site dont l'adresse ne correspond pas à l'organisme attendu, et ne transmettez jamais un numéro de carte par SMS ;
• si vous avez saisi vos données bancaires, informez sans tarder votre banque aux fins de blocage de la carte, c'est-à-dire faites opposition (article L133-17), en notant l'heure et le moyen de contact ;
• changez les mots de passe saisis ou réutilisés, et relisez vos relevés ;
• conservez la photographie du support du code, les captures d'écran, les messages, les confirmations de paiement et les relevés ;
• contestez par écrit chaque opération non reconnue, sans tarder et au plus tard dans les treize mois suivant le débit (article L133-24) ;
• rappelez le délai de l'article L133-18, et si la banque invoque la négligence grave, demandez-lui par écrit les éléments sur lesquels elle se fonde, l'article L133-23 mettant à sa charge la preuve de la fraude ou de la négligence grave ;
• si une demande d'argent vous a été faite, déposez plainte en ligne sur THESEE, prenez rendez-vous auprès de la police ou rendez-vous au commissariat ou à la gendarmerie ;
• en cas de refus ou de silence, adressez une réclamation écrite à la banque (article L133-45), puis saisissez le médiateur (article L316-1).

Ce que cet article ne couvre pas

Cet article présente les informations de la fiche pratique du site Ma Sécurité du ministère de l'Intérieur (informations mises à jour le 28 juillet 2026) et de l'article de l'Institut national de la consommation du 22 septembre 2025, ainsi que les dispositions citées du Code monétaire et financier, dont la date de consultation figure dans la liste des sources. Ces deux pages décrivent le mécanisme et la prévention, mais ne détaillent pas la procédure de la victime, qui est reconstituée ici à partir de la loi et de conseils généraux. Il ne traite ni de la fraude visant les entreprises, ni du détail des logiciels nuisibles, ni de l'appréciation de la responsabilité d'une banque dans un dossier particulier. Il ne met en cause aucune entreprise ni aucune personne, les noms cités par les sources étant utilisés par les escrocs sans leur accord. Chaque situation dépend des faits, notamment de ce que vous avez scanné, saisi, validé et du moment où vous avez agi, et aucun dossier individuel ne peut être apprécié ici. Les règles décrites visent un prestataire de paiement soumis au droit français. Les services cités et leurs conditions d'accès peuvent évoluer, reportez-vous aux pages officielles. Cet article est rédigé avec l'assistance d'une intelligence artificielle, à partir des textes cités.