Un autocollant discret collé sur un parcmètre, une borne de recharge ou un menu de restaurant : il n’en faut pas plus pour vous faire tomber dans le piège. En 2026, le quishing, contraction de « QR code » et de « phishing », s’impose comme l’une des arnaques numériques les plus redoutables. Elle mise sur un geste devenu automatique — scanner un QR code — pour vous rediriger vers un faux site conçu pour aspirer vos identifiants et vos coordonnées bancaires.
Pourquoi cette arnaque au QR code progresse autant
Le constat des autorités est sans appel. Dans son rapport d’activité 2025 publié en juin 2026, la plateforme publique Cybermalveillance.gouv.fr place l’hameçonnage au premier rang des menaces, avec environ un tiers de l’ensemble des demandes d’assistance, tous publics confondus. Le quishing n’est qu’une déclinaison de cette famille d’attaques, mais sa mécanique le rend particulièrement efficace.
La raison est simple : un QR code est illisible à l’œil nu. Impossible, avant de le scanner, de savoir vers quelle adresse il pointe réellement. Les escrocs exploitent cette zone d’ombre en apposant leur propre code par-dessus un support qui paraît officiel. Vous croyez régler un stationnement ou consulter une carte ; vous atterrissez en réalité sur une copie conforme d’un site légitime.
Les terrains de chasse préférés des escrocs
Le quishing se glisse partout où le QR code s’est banalisé. Les points de contact les plus signalés sont désormais bien identifiés :
- Le mobilier urbain : parcmètres et bornes de recharge recouverts d’un autocollant piégé.
- Les faux courriers et e-mails : avis d’amende, relance de facture ou message bancaire intégrant un code à scanner.
- La restauration et les commerces : menus, tables et vitrines où un code frauduleux remplace le vrai.
- Les colis et livraisons : notifications réclamant de « scanner pour suivre » un envoi inexistant.
Le procédé s’inscrit dans une vague plus large d’arnaques qui se perfectionnent, notamment via des SMS personnalisés et des visuels de plus en plus crédibles. Face à cette sophistication, la vigilance ne suffit plus : il faut adopter des réflexes systématiques.
Les bons réflexes avant de scanner
La parade tient en quelques habitudes simples, à la portée de tous. D’abord, inspecter le support physique : un autocollant qui se décolle, un code manifestement rapporté par-dessus un autre ou un affichage bricolé doivent immédiatement alerter. Dans le doute, on ne scanne rien et l’on paie par un autre moyen.
Ensuite, ne jamais saisir d’informations sensibles sur une page ouverte depuis un QR code. Pour accéder à sa banque, aux impôts ou à un transporteur, mieux vaut taper soi-même l’adresse officielle dans le navigateur ou passer par l’application dédiée. Enfin, la plupart des smartphones affichent l’URL en aperçu avant l’ouverture : prenez le temps de la lire et méfiez-vous des adresses à rallonge ou mal orthographiées. Vous trouverez d’autres réflexes utiles dans notre rubrique Astuces et Conseils.
Que faire si l’on s’est fait piéger ?
Si vous avez communiqué vos coordonnées bancaires, la rapidité est déterminante. Faites immédiatement opposition auprès de votre banque, modifiez les mots de passe potentiellement compromis et surveillez vos comptes durant plusieurs semaines. Signalez enfin l’incident sur la plateforme officielle Cybermalveillance.gouv.fr et transférez tout SMS suspect au 33700, le numéro national de lutte contre le spam. Pour rester informé des menaces émergentes, gardez un œil sur nos pages High-Tech, Informatique, Technologie et Téléphonie, smartphone.
Questions fréquentes
Qu’est-ce que le quishing exactement ?
C’est une forme d’hameçonnage qui remplace le lien piégé d’un e-mail ou d’un SMS par un QR code. Une fois scanné, il redirige la victime vers un faux site destiné à voler ses identifiants ou ses données bancaires.
Un antivirus protège-t-il du quishing ?
Pas totalement. L’attaque repose avant tout sur la tromperie et un geste volontaire de l’utilisateur. La meilleure défense reste la vigilance : vérifier le support, contrôler l’URL et ne jamais saisir de données sensibles depuis un code scanné.
Faut-il arrêter d’utiliser les QR codes ?
Non. Le QR code reste un outil pratique et légitime. Il s’agit simplement de scanner en conscience : privilégier les codes affichés dans un cadre officiel et éviter ceux qui semblent rapportés ou d’origine douteuse.
Sources
- Cybermalveillance.gouv.fr — Panorama des cybermenaces
- CNEWS — Le quishing, une arnaque de plus en plus répandue
- Selectra — QR codes piégés : le bon réflexe avant de scanner
Mois de la cybersécurité : pourquoi l’IA rend l’hameçonnage plus dangereux que jamais
Chaque année, le mois d’octobre marque le lancement du Mois de la sensibilisation à la cybersécurité, une campagne reprise par le gouvernement du Québec, le gouvernement fédéral et de nombreuses organisations partout au pays. Cette année, le thème retenu, «…
Cryptoactifs : des fraudeurs usurpent l’identité de l’Union Bancaire Privée en 2026
Des investisseurs canadiens déjà victimes d’une première arnaque aux cryptoactifs sont désormais ciblés une seconde fois. L’Autorité des marchés financiers (AMF) et les Autorités canadiennes en valeurs mobilières (ACVM) ont lancé le 4 août 2026 une mise en garde après…
Cyberattaque contre une station d’eau potable en Gaspésie : ce que révèle l’incident de Saint-Noël
Le 23 juillet dernier, vers 7h30 du matin, la station d’eau potable de la petite municipalité de Saint-Noël, dans le Bas-Saint-Laurent, a été la cible d’une cyberattaque attribuée à un groupe de pirates organisé basé en Russie. L’incident, rapidement maîtrisé,…