Faux codes QR sur les horodateurs et autres arnaques bien réelles

Les faux codes QR sur les horodateurs comptent parmi les arnaques par quishing les plus répandues dans la vie réelle : un malfaiteur colle un code frauduleux par-dessus le vrai, et les automobilistes qui scannent pour « payer leur stationnement » livrent leurs coordonnées bancaires directement à un escroc. La même astuce se retrouve sur les bornes de recharge pour véhicules électriques, les affiches et les tables de restaurant. Voici comment la repérer. 🐾

Le stationnement est la cible parfaite d'une arnaque au code QR. Vous êtes souvent pressé, planté au bord de la route, désireux de payer et de poursuivre votre journée. Les villes et les opérateurs ont banalisé le paiement par scan, si bien qu'un code sur un horodateur n'éveille aucun soupçon. Les escrocs exploitent précisément ce confort — et comme l'attaque n'est qu'un autocollant physique, elle ne leur coûte presque rien à déployer.

Comment fonctionne l'arnaque au faux horodateur ?

Le mécanisme est simple et, malheureusement, efficace :

Un escroc imprime un code QR qui renvoie vers une fausse page de paiement convaincante.
Il le colle directement par-dessus le code légitime d'un horodateur, d'une borne de paiement ou d'un panneau voisin.
Un automobiliste le scanne, s'attendant au service de stationnement officiel.
La fausse page demande les coordonnées bancaires, et parfois le nom, l'adresse et le numéro de téléphone.
L'automobiliste « paie », ne reçoit rien de réel, et le malfaiteur détient désormais ses données bancaires — et souvent une amende tombe quand même, puisqu'aucun paiement authentique n'a été effectué.

C'est un cas d'école de quishing (hameçonnage par code QR) : le code QR ne fait rien d'autre que pointer vers un site web malveillant. Toute l'arnaque repose sur le fait que vous ne voyez pas la vraie adresse avant de saisir vos informations.

Le plus cruel dans l'arnaque au stationnement, c'est la double perte : votre carte est compromise, et comme aucun paiement réel n'a été effectué, vous pouvez encore recevoir une amende.

Pourquoi les horodateurs en particulier ?

Plusieurs facteurs font des horodateurs un terrain de chasse idéal :

Vous êtes pressé. Personne ne s'attarde devant un horodateur, alors peu de gens prennent le temps d'examiner un code.
Le paiement par scan est attendu. De nombreuses municipalités et opérateurs utilisent réellement le paiement par QR, si bien qu'un code paraît tout à fait normal.
Les horodateurs sont sans surveillance. Un escroc peut poser un autocollant en quelques secondes sans que personne ne le voie.
Le matériel usé masque la falsification. Les horodateurs en extérieur sont éraflés et délavés, alors un autocollant neuf se fond dans le décor.

Quelles autres arnaques dans l'espace public emploient la même astuce ?

La méthode de l'autocollant par-dessus un vrai code ne se limite pas au stationnement. Guettez-la partout où un code se trouve dans un lieu public non surveillé :

Lieu	L'appât
Bornes de recharge électrique	« Scannez pour activer et payer » — capture les données bancaires
Tables de restaurant	Faux codes « menu » ou « payez votre addition » par-dessus les vrais
Affiches d'événements et de transports	Codes de billets ou d'horaires redirigeant vers des pages d'hameçonnage
Locations de vélos et trottinettes	Faux codes de « déverrouillage » récoltant les identifiants d'application ou le paiement
Prospectus de dons et de charité	Codes détournant les dons vers le compte d'un escroc

Toutes ces variantes reposent sur le même principe de recouvrement, que nous explorons plus en détail dans comment les attaquants recouvrent d'un autocollant les codes QR légitimes.

Comment distinguer un faux code de stationnement d'un vrai ?

Nul besoin d'être un expert en sécurité — quelques vérifications rapides démasquent la plupart des faux.

1. Inspectez le code physique

Est-ce un autocollant posé sur la surface, ou est-il imprimé dans la signalétique officielle de l'horodateur ? Cherchez des bords qui se décollent, un code qui chevauche ou recouvre d'autres textes imprimés, ou un autocollant dont la finition ne correspond pas au reste de la machine. Un code authentique fait généralement partie du panneau fabriqué, et non d'une étiquette collée après coup.

2. Prévisualisez le lien avant de payer

C'est l'étape décisive. Quand vous scannez, lisez l'adresse web avant de l'ouvrir. Le domaine correspond-il à l'opérateur de stationnement ou à votre municipalité ? Ou s'agit-il d'un site à l'allure aléatoire, d'un lien raccourci ou d'un domaine sosie ? Utiliser un scanneur qui vous permet de scanner un code en toute sécurité et de voir d'abord la vraie destination transforme un piège caché en piège évident. Pour savoir précisément ce qu'il faut surveiller, consultez codes QR et URL malveillantes.

3. Privilégiez le canal officiel

Le geste le plus sûr consiste à ignorer complètement le code présent sur l'horodateur. La plupart des opérateurs de stationnement disposent d'une application officielle ou d'un numéro de téléphone et d'un code d'emplacement imprimés sur l'horodateur. Téléchargez vous-même l'application depuis la boutique de votre appareil, ou payez par téléphone. Ainsi, vous ne faites jamais confiance à un code qu'un inconnu aurait pu remplacer.

Que faire si j'ai déjà scanné un faux code ?

Si vous avez saisi vos coordonnées bancaires sur une page de stationnement suspecte :

Contactez immédiatement votre banque pour bloquer la carte et surveiller les débits frauduleux.
Changez tout mot de passe que vous auriez pu saisir, surtout si vous l'avez réutilisé ailleurs.
Conservez les preuves — photographiez l'horodateur et l'autocollant si vous pouvez le faire en toute sécurité.
Signalez-le à l'opérateur de stationnement, au lieu concerné et à l'autorité de lutte contre la fraude compétente. Notre guide sur comment signaler un code QR malveillant détaille chaque étape.

Une façon posée d'y penser

Les arnaques au QR de stationnement paraissent alarmantes, mais la défense est vraiment simple et n'exige pas de vous méfier de chaque code. Prenez les quelques secondes qu'il faut pour regarder l'autocollant et lire le lien. Si l'un ou l'autre vous semble louche, utilisez plutôt l'application officielle. Cette petite habitude vous protège non seulement des arnaques au stationnement, mais de toute la famille des attaques par recouvrement dans l'espace public. Et lorsque vous créez des codes pour votre propre entreprise ou événement, vous pouvez créer un code QR gratuit qui encode directement votre vraie destination — sans redirection cachée dont quiconque pourrait abuser.

Questions fréquentes

Les fausses arnaques au code QR de stationnement sont-elles fréquentes ?

C'est un problème bien documenté et récurrent dans de nombreuses villes, précisément parce qu'il est peu coûteux à déployer et qu'il vise des gens pressés. Inutile de paniquer, mais il faut traiter tout code de paiement présent sur un horodateur avec une vérification rapide avant de l'utiliser.

Comment savoir si un code QR de stationnement est authentique ?

Vérifiez s'il fait partie du panneau imprimé de l'horodateur ou s'il s'agit d'un autocollant collé, puis prévisualisez le lien et confirmez que le domaine appartient à l'opérateur de stationnement ou à la municipalité. Si quelque chose semble louche, utilisez plutôt l'application officielle de l'opérateur ou sa ligne de paiement par téléphone.

Est-il plus sûr d'utiliser une application de stationnement plutôt que de scanner ?

Oui. Télécharger l'application officielle depuis la boutique de votre appareil et payer par son intermédiaire signifie que vous ne vous fiez jamais à un code qu'un inconnu aurait pu recouvrir d'un faux. C'est le moyen le plus fiable d'éviter les arnaques par recouvrement.

Que se passe-t-il si j'ai payé sur un faux code de stationnement ?

Contactez immédiatement votre banque pour protéger votre carte, changez tout mot de passe réutilisé et signalez l'incident à l'opérateur de stationnement et aux autorités de lutte contre la fraude. Comme aucun paiement réel n'a été effectué, vérifiez aussi si vous devez toujours régler les vrais frais de stationnement afin d'éviter une amende.

Les bornes de recharge pour véhicules électriques ont-elles le même problème ?

Oui. Les bornes de recharge sont sans surveillance et utilisent le paiement par scan, elles sont donc vulnérables à la même astuce de recouvrement. Prévisualisez le lien avant de payer et privilégiez l'application officielle du réseau de recharge chaque fois que c'est possible.