Arnaque au faux QR-code (Quishing) et aux fausses QR-factures en Suisse
Les escrocs utilisent de faux codes QR collés sur des parcmètres ou intégrés à des factures falsifiées pour dérober vos données bancaires. Cette méthode de hameçonnage, appelée « Quishing », fait de nombreuses victimes en Suisse.
Comment ça marche
Le Quishing (contraction de QR et Phishing) consiste à utiliser un code QR frauduleux pour tromper les victimes. En Suisse, les escrocs impriment des autocollants avec leur propre code QR et les placent de manière stratégique sur les parcmètres, les bornes de recharge ou des affiches légitimes dans l’espace public.
Lorsqu’une victime scanne le code pour payer son stationnement, elle est redirigée vers une fausse page web, imitant à la perfection les prestataires officiels tels que Twint, EasyPark ou La Poste. La page demande alors de saisir des informations de carte de crédit, des mots de passe ou valide un paiement direct vers le compte du fraudeur.
Une autre variante très courante en Suisse concerne les courriers ou e-mails contenant une fausse QR-facture (par exemple, un faux rappel de l’Office des poursuites ou d’une entreprise de recouvrement connue). Le code QR de la facture redirige le paiement vers le compte en banque des escrocs au lieu du créancier légitime.
Le déroulé de l’arnaque
- Vous repérez un code QR sur un parcmètre public ou recevez une QR-facture par e-mail sous couvert d'une fausse amende ou d'un rappel de paiement.
- Vous scannez le code QR avec l'appareil photo de votre téléphone ou directement dans votre application bancaire.
- Le code vous redirige vers un site internet frauduleux qui ressemble visuellement à un portail de paiement officiel suisse.
- Le faux site vous demande d'introduire vos données de carte de crédit, vos identifiants bancaires ou de valider une transaction.
- Les escrocs interceptent vos données pour vider votre compte ou encaissent le montant de la fausse facture, tandis que la vraie dette reste impayée.
Exemples concrets
Le faux rappel de recouvrement avec QR-facture
EmailCe message joue sur l'urgence et la peur des poursuites. Le code QR contenu dans le faux PDF n'est pas une facture suisse standard, mais un lien qui dirige vers un site de hameçonnage conçu pour voler les coordonnées de votre carte de crédit.
Faux courrier électronique de l'Office des douanes
EmailL'adresse de l'expéditeur n'est pas officielle. Les douanes suisses (OFDF) n'utilisent jamais d'adresses génériques gratuites et ne demandent pas de paiements via un simple code QR envoyé par e-mail menant à une page de carte de crédit externe.
La fausse amende de stationnement
SMSLa police n'envoie jamais d'amende par SMS avec un lien vers un soi-disant code QR ou portail de paiement. De plus, l'URL utilisée n'est pas une adresse officielle de l'administration suisse, qui se termine toujours par .ch ou .admin.ch.
Signaux d’alerte
- Le code QR sur un parcmètre ou une affiche semble être un autocollant rajouté par-dessus le code original.
- L'URL qui s'affiche brièvement à l'écran après le scan du code QR vous semble suspecte ou ne correspond pas au service officiel.
- Le site de paiement vous demande des identifiants e-banking ou le code PIN de votre carte au lieu de traiter un simple paiement.
- Le message vous presse de payer une facture QR sous menace de poursuites ou de frais de douane imminents.
- La QR-facture reçue par e-mail ou courrier papier contient des fautes d'orthographe ou ne mentionne pas précisément ce que vous avez acheté.
Vous avez été victime de cette arnaque ?
Nos juristes vous aident à porter plainte et à faire valoir vos droits. Réponse sous 24h, en toute confidentialité.
Comment se protéger
- Regardez toujours attentivement un code QR physique avant de le scanner pour vérifier qu'il ne s'agit pas d'un autocollant superposé.
- Vérifiez systématiquement l'adresse du site web (URL) affichée par votre appareil photo avant de valider l'ouverture du lien.
- Ne saisissez jamais vos informations de carte de crédit ou vos mots de passe e-banking sur une page ouverte depuis un code QR non vérifié.
- Pour les paiements de stationnement, privilégiez les applications officielles téléchargées directement depuis les magasins d'applications sécurisés.
- Traitez toutes les demandes de paiement urgentes reçues par e-mail ou courrier avec une extrême méfiance et contactez l'entreprise via ses coordonnées officielles.
Que faire si vous êtes victime
- Bloquez immédiatement votre carte de crédit ou l'accès à votre compte bancaire en contactant la hotline de votre banque.
- Modifiez sans attendre les mots de passe de vos comptes e-banking et de votre messagerie électronique si vous les avez saisis sur le faux site.
- Signalez l'incident avec le code QR frauduleux ou l'e-mail à l'Office fédéral de la cybersécurité (OFCS) via leur formulaire en ligne.
- Conservez toutes les preuves (capture d'écran de l'URL, e-mails, photos de l'autocollant frauduleux sur le parcmètre).
- Déposez une plainte pénale auprès de la police cantonale de votre lieu de résidence si vous avez subi un préjudice financier.
Questions fréquentes
Le Quishing, contraction de « QR » et « Phishing » (hameçonnage), est une arnaque où les escrocs utilisent des codes QR manipulés pour rediriger les victimes vers de faux sites web, dans le but de dérober des données personnelles, des coordonnées bancaires ou de déclencher des paiements frauduleux.
Un faux code QR prend souvent la forme d'un autocollant apposé illégalement par-dessus le code original gravé ou imprimé sur la machine. Si l'autocollant se décolle ou semble superposé, ne le scannez pas et signalez-le aux autorités locales.
Non. Les escrocs envoient également de fausses factures papier équipées d'un vrai code QR, mais dont l'IBAN correspond au compte des fraudeurs. Vérifiez toujours que vous avez bien une relation commerciale avec l'expéditeur et que les montants sont corrects avant de valider le paiement.
Fermez immédiatement la fenêtre ou le navigateur de votre smartphone. Les systèmes d'exploitation modernes et les navigateurs détectent parfois les sites frauduleux. Si vous avez reçu ce code par e-mail, supprimez le message sans y répondre.
Habituellement, le simple fait de scanner le code ne déclenche pas le vol de vos données, à moins que le site n'exploite une faille de votre système pour installer un logiciel malveillant. Par précaution, fermez la page, lancez une analyse antivirus sur votre téléphone et effacez le cache de votre navigateur.
C'est très rare. Les banques considèrent souvent qu'il y a eu négligence si le client a validé lui-même le paiement ou transmis ses données de carte de crédit. Chaque cas est toutefois examiné individuellement par votre établissement bancaire.
Sources
- Office fédéral de la cybersécurité (OFCS) - Hameçonnage, vishing, smishing
- eBanking en toute sécurité (eBAS) - Règles de comportement
- Prévention Suisse de la Criminalité (PSC) - Escroquerie
Dernière mise à jour : 12 juin 2026
Autres arnaques à connaître
Vous avez été victime de cette arnaque ?
Nos juristes vous aident à porter plainte et à faire valoir vos droits. Réponse sous 24h, en toute confidentialité.