Faux QR code de stationnement : le piège à 35 euros qui se répand cet été, et le seul réflexe qui protège

Un autocollant proprement collé sur l’horodateur, un carré noir et blanc qui promet de payer son stationnement en dix secondes. Le geste est devenu un réflexe d’été : on sort le téléphone, on flashe, on règle. Sauf que ce QR code-là ne mène pas vers l’application de la ville. Il ouvre un faux site qui copie l’officiel et repart avec votre numéro de carte. Le procédé porte un nom, le quishing, et il s’est invité sur les bornes de plusieurs villes françaises, de Nice à Bergerac. Bonne nouvelle : un seul réflexe suffit à le neutraliser.

Comment le piège est monté

L’arnaque prend deux formes principales, et elles visent toutes les deux le même réflexe estival. La première, c’est le faux PV glissé sous l’essuie-glace. Le document reprend les codes d’une vraie contravention, logo de la République française compris, et affiche un QR code accompagné d’un montant calibré pour ne pas alarmer : 35 euros, à régler sous 48 heures, faute de quoi la somme grimperait à 135 euros. Une fois flashé, le code ouvre une page qui imite amendes.gouv.fr, vous demande votre plaque, puis vos coordonnées bancaires. La seconde forme se passe directement sur la borne : un autocollant frauduleux recouvre le vrai QR code de l’horodateur et redirige vers une fausse application de paiement.

Ce qui rend l’opération efficace, c’est sa banalité. Payer son stationnement par QR code ou par appli est devenu si courant qu’on ne regarde plus le détail. Les escrocs n’ont donc rien à pirater : ils s’intercalent simplement entre vous et le service réel, sur un support physique que personne ne soupçonne.

De Nice à Bergerac : les villes déjà touchées

Les cas documentés ne manquent pas. À Nice, des autocollants frauduleux avaient été repérés sur les bornes de paiement, censés rediriger vers l’application PayByPhone et renvoyant en réalité vers une page pirate. La ville avait dû faire contrôler ses 750 horodateurs et déposer plainte. À Bergerac, en août 2025, un vacancier a flashé le QR code d’un horodateur pour télécharger l’application de paiement TIMO et s’est retrouvé, deux jours plus tard, abonné à 34 euros par mois à une plateforme de jeux, sans avoir réglé son stationnement. La mairie a fait retirer les QR codes le temps de bloquer la fraude.

Ces affaires locales s’inscrivent dans une tendance nationale. Dans son rapport 2025, Cybermalveillance.gouv.fr place l’hameçonnage au premier rang des menaces visant les particuliers, en hausse de 70 % sur l’année, et fait état de plus de 500 000 victimes assistées, soit 20 % de plus qu’en 2024. Le QR code n’est qu’un nouveau canal pour une vieille mécanique : vous faire saisir vous-même vos données sur une fausse page. Nous avions déjà décortiqué une logique cousine avec les faux sites d’achat poussés par l’IA.

Le seul réflexe qui protège

Tout tient en une phrase : un vrai PV ne comporte jamais de QR code, et la seule adresse légale pour payer une amende en France est amendes.gouv.fr. Si vous trouvez une contravention sous votre essuie-glace, ne flashez rien. Tapez vous-même l’adresse officielle dans votre navigateur, ou vérifiez le numéro de l’avis sur le site de l’ANTAI : s’il n’est pas reconnu, c’est un faux. Sur un horodateur, méfiez-vous d’un autocollant qui semble rapporté ou décalé, et installez plutôt l’application de stationnement depuis l’App Store ou Google Play, jamais depuis un code croisé dans la rue.

Le détail qui doit alerter, c’est l’urgence. Un délai très court et une menace de surcoût sont la signature de l’arnaque, conçus pour vous faire payer avant de réfléchir. Un service public, lui, ne vous mettra jamais la pression de cette manière. Le même réflexe vaut pour les fausses notifications : nous avons vu comment Android tente désormais de repérer les faux appels, mais aucune machine ne remplace ce doute d’une seconde avant de scanner.

Et si le mal est fait ? Si vous avez flashé et saisi votre carte, agissez vite. Faites opposition auprès de votre banque, conservez une photo du faux PV ou du QR code, et signalez l’arnaque sur cybermalveillance.gouv.fr, qui vous orientera. Surveillez vos relevés les semaines suivantes : un prélèvement de quelques dizaines d’euros par mois, comme à Bergerac, peut passer inaperçu. Cet été, le geste qui sauve ne coûte rien : reposer son téléphone une seconde et taper soi-même la bonne adresse.

Questions courantes

Un vrai PV peut-il contenir un QR code ?
Non. Une véritable contravention ne comporte jamais de QR code. Si le document trouvé sous votre essuie-glace en affiche un et réclame un paiement immédiat, c’est une arnaque.

Quel est le seul site légal pour payer une amende ?
amendes.gouv.fr est le seul site officiel pour régler une amende en ligne. Vous pouvez aussi vérifier l’authenticité d’un avis sur le site de l’ANTAI : s’il n’y est pas reconnu, c’est un faux.

Comment reconnaître un faux QR code sur un horodateur ?
Méfiez-vous d’un autocollant qui semble rapporté, décalé ou recouvrir un autre code. Dans le doute, installez l’application de stationnement depuis l’App Store ou Google Play plutôt que depuis un code affiché sur la borne.

J’ai flashé et donné ma carte, que faire ?
Faites immédiatement opposition auprès de votre banque, gardez une preuve du faux PV, signalez l’arnaque sur cybermalveillance.gouv.fr et surveillez vos relevés, certains escrocs déclenchant des abonnements mensuels discrets.

Article créé en collaboration avec l’IA.