Quishing : les faux QR codes, une menace réelle mais encore limitée

Le « quishing » désigne un hameçonnage opéré par QR code. Deux publications officielles encadrent ce que l'on peut en dire : l'article de Cybermalveillance.gouv.fr sur le quishing, publié le 28 mai 2024 et mis à jour le 10 août 2026, et la mise en garde de l'ANTAI « Attention aux SMS, courriels et sites frauduleux », datée du 18 octobre 2024. Les deux ont été consultées le 1er octobre 2026.

Ce qui a été observé

Cybermalveillance.gouv.fr énumère les formes relevées en France depuis 2023 :

de faux avis de contravention reçus à domicile ou déposés sur des pare-brise ;
de faux avis de passage de La Poste glissés dans des boîtes aux lettres ;
de faux QR codes collés sur des parcmètres ou sur des bornes de recharge de véhicules électriques ;
de faux QR codes de confirmation de connexion à Office 365.

Le QR code mène vers un site frauduleux ou fait télécharger un virus.

Une menace que l'organisme public juge encore mineure

Nous avions classé cette alerte en risque élevé. Ce n'est pas ce que dit la source. Cybermalveillance.gouv.fr qualifie le développement des QR codes malveillants de marginal et donne ses raisons : un QR code envoyé par message suppose un second appareil pour le scanner, et la pose physique d'autocollants ou de faux avis ne touche qu'un nombre limité de personnes, pour un risque d'interpellation important. Sa conclusion tient en une phrase : la menace reste relativement mineure, mais elle est réelle.

Elle est réelle pour une raison simple, que l'article formule aussi : elle joue sur la difficulté que peuvent avoir les victimes à identifier un lien frauduleux, à plus forte raison lorsqu'il est masqué par un QR code qui n'est pas immédiatement lisible. Nous avons abaissé le niveau de risque de cette alerte en conséquence.

Amendes et forfait post-stationnement : les sites indiqués par l'ANTAI

L'ANTAI indique qu'elle n'envoie jamais de SMS et que de faux courriers (avis de contravention, lettres de rappel) renvoient vers des sites frauduleux destinés à collecter des données personnelles. Elle demande de vérifier que tout lien ou QR code reçu conduit bien à l'un de ces sites, et de quitter la page dans le cas contraire :

Démarche	Site officiel indiqué par l'ANTAI
Paiement d'une amende	`amendes.gouv.fr`
Paiement du forfait post-stationnement (FPS)	`stationnement.gouv.fr`
Consultation ou contestation	`antai.gouv.fr`

Les courriels authentiques de l'agence proviennent, selon la même page, de l'adresse [email protected].

Les adresses du tableau valent pour les avis envoyés par l'ANTAI. Dans certaines communes, le forfait post-stationnement peut se payer sur le site internet de la commune, comme l'indique Service-Public.fr : en cas de doute, renseignez-vous auprès de la commune qui a établi l'avis, sans passer par le QR code.

Vérifier avant de payer

Cybermalveillance.gouv.fr applique au QR code la même règle qu'à un lien reçu par message : en vérifier la vraisemblance avant de le suivre, et s'abstenir au moindre doute. Concrètement :

Après le scan, lisez l'adresse que votre téléphone propose d'ouvrir avant de valider.
Pour un avis de contravention ou un avis de paiement de forfait post-stationnement envoyé par l'ANTAI, comparez cette adresse aux trois sites ci-dessus. Vous pouvez aussi taper l'adresse officielle vous-même plutôt que de passer par le QR code. Ces trois sites ne servent pas à payer le stationnement lui-même, qui se règle, selon l'ANTAI, au parcmètre ou via une application dédiée : face à un QR code collé sur un parcmètre ou sur une borne de recharge, payez directement à l'appareil lorsque c'est possible, ou renseignez-vous auprès de la commune ou de l'exploitant.
Pour un avis de passage, consultez le suivi du colis depuis le site du transporteur. Voir notre article sur l'arnaque au faux colis.
En cas de doute sur une adresse, vous pouvez la coller dans notre vérificateur de lien, qui relève les signaux d'un site frauduleux sans pouvoir garantir qu'un site est sûr.

Signaler et réagir

L'ANTAI renvoie vers internet-signalement.gouv.fr pour signaler un site frauduleux et vers le 33700 pour transférer un SMS. Si vous avez saisi votre carte bancaire sur une page atteinte par un QR code, les démarches sont celles de tout hameçonnage : opposition immédiate auprès de votre banque, conservation des preuves, puis signalement et plainte. Voir aussi notre article sur les faux SMS d'impôts et d'amende.