Arnaque au faux QR-code sur les bornes de recharge : le quishing ciblant les véhicules électriques
Des escrocs collent de faux QR-codes sur les bornes de recharge publiques pour véhicules électriques. En scannant le code, les automobilistes sont redirigés vers un site frauduleux conçu pour vider leur carte de crédit.
Comment ça marche
L’escroquerie repose sur une technique appelée « quishing » (contraction de QR-code et de phishing). Les escrocs impriment des autocollants comportant un code QR frauduleux et les apposent directement sur les bornes de recharge publiques pour véhicules électriques. Ils recouvrent généralement le code légitime de l’appareil ou le collent juste à côté de l’écran principal.
Lorsque vous souhaitez recharger votre voiture, vous scannez machinalement ce code avec l’appareil photo de votre téléphone pour accéder à l’interface de paiement. Le code malveillant vous redirige alors vers un site web qui imite parfaitement la charte graphique de l’opérateur de la borne. Vous y entrez les données de votre carte de crédit en pensant payer votre session. Ces informations sont instantanément transmises aux criminels. Non seulement la borne ne s’active pas, mais votre compte bancaire risque d’être débité de montants élevés dans les minutes qui suivent.
Le déroulé de l’arnaque
- Les escrocs repèrent des bornes de recharge publiques non surveillées et collent leurs propres autocollants avec un QR-code frauduleux.
- Vous garez votre véhicule électrique et scannez le code affiché sur la borne pour lancer le paiement de la recharge.
- Votre smartphone ouvre une fausse page web, visuellement identique au site officiel de l'opérateur du réseau de recharge.
- Vous saisissez les coordonnées de votre carte de crédit (numéro, date d'expiration, cryptogramme) pour autoriser la transaction.
- La borne refuse de démarrer, tandis que les fraudeurs utilisent vos informations bancaires pour effectuer des achats en ligne à vos frais.
Exemples concrets
La fausse validation 3D Secure
SMSLe montant et le commerçant indiqués ne correspondent pas à une simple recharge électrique. Les escrocs tentent de valider un achat coûteux en temps réel pendant que vous pensez payer votre session à la borne.
Le faux reçu de l'opérateur
EmailSi la borne ne s'allume pas, la victime frustrée pourrait recevoir ce type de courrier électronique si elle a rentré son adresse sur le faux site. C'est une deuxième tentative de phishing pour récupérer des données bancaires supplémentaires ou forcer une nouvelle validation.
Le faux service client
SMSLes escrocs jouent sur l'angoisse de l'automobiliste dont le câble de recharge serait prétendument bloqué dans la borne. Le lien redirige vers un nouveau formulaire destiné à voler les numéros de carte de crédit sous prétexte de payer une somme dérisoire.
Signaux d’alerte
- L'autocollant du QR-code se décolle légèrement ou semble collé par-dessus un autre code existant.
- Le design de l'autocollant ne correspond pas exactement au logo ou aux couleurs de la machine de recharge.
- L'adresse web affichée sur votre téléphone après le scan ne correspond pas au site officiel de l'opérateur.
- Le site web vous demande un montant fixe anormalement élevé ou une caution extravagante avant même de charger.
- La borne de recharge ne réagit pas du tout après que vous avez validé le paiement sur votre téléphone portable.
Vous avez été victime de cette arnaque ?
Nos juristes vous aident à porter plainte et à faire valoir vos droits. Réponse sous 24h, en toute confidentialité.
Comment se protéger
- Privilégiez l'utilisation de l'application mobile officielle de l'opérateur plutôt que de scanner un code sur la machine.
- Grattez légèrement l'autocollant avec l'ongle pour vérifier s'il ne dissimule pas le véritable code QR de la borne.
- Utilisez une carte RFID ou un badge physique de recharge d'itinérance au lieu du paiement par smartphone.
- Vérifiez toujours attentivement l'adresse internet du site web avant de saisir le moindre numéro de carte bancaire.
- Activez les notifications de paiement sur l'application de votre banque pour repérer immédiatement une transaction suspecte.
Que faire si vous êtes victime
- Bloquez immédiatement votre carte de crédit via l'application de votre banque ou en appelant la centrale d'opposition.
- Contactez le véritable opérateur de la borne de recharge via le numéro de téléphone imprimé sur la machine pour signaler le faux code.
- Conservez des preuves en prenant une photo de la borne, du faux autocollant et des écrans du site web frauduleux.
- Vérifiez l'historique récent de votre compte bancaire et contestez toute transaction suspecte auprès de votre établissement financier.
- Déposez une plainte pénale auprès de la police cantonale suisse, même si le dommage financier a pu être évité.
Questions fréquentes
Le remboursement n'est pas garanti. Si vous avez validé la transaction avec une méthode d'authentification forte (comme un code SMS ou la validation dans l'application bancaire), la banque estimera probablement que vous avez fait preuve de négligence, ce qui peut compromettre l'indemnisation.
Généralement non. L'opérateur est victime au même titre que vous, car son image est usurpée et son matériel vandalisé. Il est toutefois tenu de retirer l'autocollant frauduleux dès qu'il en est informé pour protéger les autres usagers.
À l'œil nu, le motif du code est impossible à différencier. La fraude se repère aux détails physiques : un autocollant mal centré, d'une texture différente, ou collé par-dessus un autre. Surtout, la véritable vérification se fait sur votre écran : l'adresse internet (URL) qui s'affiche après le scan trahit la supercherie.
Dans la très grande majorité des cas, scanner le code vous redirige seulement vers une page web. Le piratage ne survient que si vous remplissez le formulaire ou si vous installez une application malveillante proposée par ce faux site. Le simple scan est généralement inoffensif s'il est suivi d'une fermeture immédiate de la page.
Non, les badges d'itinérance magnétiques ou RFID sont insensibles au quishing. En passant votre carte directement sur le lecteur de la borne, le paiement est géré par le système interne sécurisé de la machine, sans passer par un navigateur web vulnérable.
Oui. Ce mode opératoire sévit également sur les horodateurs des parkings publics, les trottinettes électriques en libre-service, ou encore sur des fausses contraventions de stationnement déposées sur les pare-brise. La prudence est de mise pour tout code QR affiché dans l'espace public.
Sources
- Office fédéral de la cybersécurité (OFCS) - Conseils pour les particuliers
- Office fédéral de la cybersécurité (OFCS) - Hameçonnage, vishing, smishing
- Prévention Suisse de la Criminalité (PSC) - Escroquerie
Dernière mise à jour : 11 septembre 2026
Autres arnaques à connaître
Vous avez été victime de cette arnaque ?
Nos juristes vous aident à porter plainte et à faire valoir vos droits. Réponse sous 24h, en toute confidentialité.