Arnaque au faux courrier postal avec code QR (Quishing)
Les escrocs envoient de véritables lettres par la poste contenant un code QR (quishing). En scannant ce code avec votre smartphone, vous risquez de télécharger un logiciel malveillant ou de livrer vos accès bancaires.
Comment ça marche
Le quishing (contraction de QR et phishing) franchit désormais la barrière du monde numérique. Les fraudeurs envoient des lettres physiques extrêmement réalistes directement dans votre boîte aux lettres. Ces courriers usurpent l’identité d’autorités suisses, comme MétéoSuisse ou l’Alertswiss, ou de grandes entreprises, comme des fournisseurs de portefeuilles de cryptomonnaies.
La lettre prétexte généralement une mise à jour de sécurité urgente, un remboursement ou le téléchargement d’une application obligatoire. Pour faciliter la démarche, elle vous invite à scanner un code QR. Une fois scanné avec l’appareil photo de votre smartphone, ce code vous redirige vers un faux site web ou déclenche le téléchargement d’un logiciel malveillant (malware) capable d’intercepter vos mots de passe et vos accès bancaires à votre insu.
Le déroulé de l’arnaque
- Vous recevez une lettre officielle et bien formatée par la poste, semblant provenir d'une autorité suisse ou d'une entreprise connue.
- Le courrier exige une action rapide de votre part, comme installer une nouvelle application d'alerte ou mettre à jour la sécurité d'un compte.
- Pour procéder à cette mise à jour, la lettre vous invite à scanner le code QR imprimé au centre de la page.
- Le code vous redirige vers une page frauduleuse imitant la marque officielle ou télécharge un fichier malveillant sur votre smartphone.
- Les escrocs s'emparent de vos mots de passe, de vos données bancaires ou installent un virus qui pille vos comptes en arrière-plan.
Exemples concrets
La fausse lettre MétéoSuisse et Alertswiss
Courrier postalCette lettre physique joue sur l'actualité et la peur des intempéries. Le code QR ne mène pas aux boutiques d'applications officielles : il fait télécharger une fausse application imitant Alertswiss, qui installe en réalité un logiciel malveillant (connu sous les noms de Coper ou Octo2) visant les téléphones Android et capable d'intercepter les données d'accès à des centaines d'applications, dont l'e-banking. L'Office fédéral de la protection de la population a publié une mise en garde officielle contre ces courriers.
La fausse mise à jour de portefeuille crypto
Message privéCette attaque cible directement les investisseurs. Le format papier donne une forte illusion de légitimité. En saisissant votre phrase de récupération (seed phrase) sur le faux site, vous donnez aux escrocs l'accès total à vos fonds.
Le faux avis de l'administration fiscale
Message privéLes escrocs utilisent le blason et le logo de l'administration cantonale pour endormir votre méfiance. Le code QR mène vers un site de hameçonnage conçu pour voler les informations de votre carte de crédit sous couvert d'un versement.
Signaux d’alerte
- Vous recevez une lettre non sollicitée vous demandant explicitement de scanner un code QR.
- Le courrier insiste sur un caractère d'urgence, une obligation légale ou un remboursement inattendu.
- Le code QR vous invite à télécharger une application en dehors des boutiques officielles d'Apple ou de Google.
- La page ouverte par le code QR demande des données sensibles comme vos mots de passe ou des numéros de carte de crédit.
Vous avez été victime de cette arnaque ?
Nos juristes vous aident à porter plainte et à faire valoir vos droits. Réponse sous 24h, en toute confidentialité.
Comment se protéger
- Ne scannez jamais un code QR reçu par courrier s'il exige la saisie de données personnelles ou bancaires.
- Téléchargez toujours les applications en les cherchant vous-même dans l'App Store ou le Google Play Store.
- Saisissez manuellement l'adresse du site officiel de l'autorité ou de l'entreprise dans votre navigateur au lieu d'utiliser le code.
- Ne divulguez jamais vos mots de passe, votre code NIP ou votre phrase de récupération de cryptomonnaies.
Que faire si vous êtes victime
- Si vous avez installé une application malveillante, activez immédiatement le mode avion de votre smartphone.
- Bloquez vos cartes bancaires et contactez votre établissement financier depuis un autre appareil non infecté.
- Changez immédiatement tous vos mots de passe depuis un ordinateur sécurisé.
- Rétablissez la configuration d'usine du téléphone infecté, comme le recommande l'Office fédéral de la protection de la population.
- Signalez le cas à l'Office fédéral de la cybersécurité (OFCS) via son formulaire d'annonce en ligne.
- Conservez la lettre frauduleuse comme preuve et déposez plainte auprès de la police cantonale.
Questions fréquentes
Le quishing (contraction de QR et phishing) consiste à utiliser un code QR pour piéger une victime. Dans cette variante, les escrocs envoient de vraies lettres physiques par la poste, usurpant l'identité d'autorités ou d'entreprises, pour vous inciter à scanner le code avec votre smartphone et voler vos données.
Non, les autorités suisses (comme MétéoSuisse ou l'Office fédéral de la protection de la population) n'envoient jamais de lettres contenant un code QR pour forcer le téléchargement d'une application d'alerte. Les applications officielles se trouvent uniquement dans les boutiques sécurisées de votre téléphone.
Il est très difficile de vérifier un code QR à l'œil nu. La règle d'or est de ne pas le scanner. Si vous le faites par mégarde, utilisez un scanner qui affiche l'adresse Internet avant de l'ouvrir. Si l'adresse vous semble suspecte ou inconnue, fermez immédiatement la page.
Si vous avez divulgué votre phrase de sécurité (seed phrase), vos fonds sont en danger immédiat. Tentez de transférer instantanément vos cryptomonnaies vers un nouveau portefeuille sécurisé si les escrocs ne l'ont pas encore fait, et signalez le vol à la police.
Dans la majorité des cas, scanner le code ne suffit pas à infecter le téléphone. L'infection se produit lorsque la page web ouverte vous trompe et vous pousse à accepter le téléchargement et l'installation d'un fichier malveillant (souvent un fichier .apk sur le système Android).
Le courrier postal permet de contourner les filtres anti-spam des messageries électroniques et inspire naturellement davantage confiance. Les victimes sont moins méfiantes face à une lettre physique, surtout lorsqu'elle imite parfaitement la mise en page d'une autorité suisse.
Sources
- Office fédéral de la cybersécurité (OFCS) - Conseils pour les particuliers
- Office fédéral de la cybersécurité (OFCS) - Hameçonnage, vishing, smishing
- Office fédéral de la protection de la population (OFPP) - Mise en garde contre de fausses lettres envoyées au nom de MétéoSuisse
Dernière mise à jour : 16 septembre 2026
Autres arnaques à connaître
Vous avez été victime de cette arnaque ?
Nos juristes vous aident à porter plainte et à faire valoir vos droits. Réponse sous 24h, en toute confidentialité.