Arnaques aux codes QR (QRishing) : comment elles fonctionnent et comment protéger votre entreprise et vos clients

Publié le 1 novembre 2026 · L'équipe mitza.es

Les codes QR sont partout : cartes de restaurant, horodateurs, affiches, colis et factures. Ils sont pratiques précisément parce qu'il n'y a rien à taper, et c'est cette commodité que les escrocs exploitent. Le QRishing (aussi appelé quishing) consiste à utiliser un code QR pour amener la victime vers un faux site qui imite une entité réelle et lui demande des données bancaires, des mots de passe ou un paiement. Cet été, la Police nationale espagnole et l'OCU ont renforcé leurs avertissements. Ce guide résume ce qu'elles disent et l'applique à une entreprise qui a des clients.

Qu'est-ce que le QRishing et pourquoi ça marche

Un code QR est une image qui contient une adresse web (ou une autre donnée). À première vue, on ne distingue pas un QR légitime d'un faux, et les gens scannent sans réfléchir. L'escroc n'a qu'à placer son code là où vous en attendez un de confiance, ou à vous en envoyer un avec un prétexte urgent. Cela fonctionne pour deux raisons : on ne voit pas l'adresse avant de l'ouvrir et il est utilisé dans des contextes de précipitation (une amende, un colis qui n'a pas pu être livré, une table où l'on veut commander tout de suite).

Les fraudes que repèrent les autorités

• Fausses amendes sur le pare-brise : des autocollants ou des papiers avec un QR qui imitent des avis de circulation ou de stationnement. L'OCU a alerté en juillet 2026 sur ces autocollants et sur le fait que le lien mène à un site cloné qui demande des données bancaires. Maldita.es documente des cas de fausses amendes avec QR dans plusieurs communes espagnoles depuis novembre 2024.
• Avis de colis et autres messages urgents : la Police nationale insiste sur le fait que le risque augmente quand le code apparaît dans des situations qui créent de la précipitation.
• QR superposés dans des établissements : des autocollants collés sur le vrai code d'une carte, d'une affiche ou d'un terminal de paiement. Le ministère espagnol de l'Intérieur reprend le conseil de la Guardia Civil : si le QR de paiement d'un restaurant vous redirige vers un site suspect, renseignez-vous directement auprès de l'établissement.

Ce que recommandent les autorités à celui qui scanne

• Méfiez-vous des codes qui apparaissent là où vous ne les attendiez pas ou avec un message urgent.
• Désactivez l'ouverture automatique des liens au scan et vérifiez l'adresse avant d'entrer.
• N'entrez ni mots de passe, ni données bancaires, ni informations personnelles si le site ne vous inspire pas confiance ou demande trop d'autorisations.
• Gardez le système et les applications à jour, et ne téléchargez des applis que depuis les boutiques officielles.
• Si vous avez déjà donné des données : appelez la banque pour bloquer la carte, déposez plainte auprès de la Police nationale ou de la Guardia Civil, conservez des captures d'écran et le lien, et prévenez l'INCIBE au 017 (aussi par WhatsApp au 900 116 117).

Pourquoi c'est aussi un problème pour votre entreprise

Si votre entreprise utilise des codes QR, vous êtes un scénario possible de l'arnaque : quelqu'un peut coller son QR sur le vôtre et faire payer vos clients, ou leur envoyer un e-mail qui imite le vôtre avec un faux QR. Le client escroqué ne fait pas la différence entre le délinquant et votre marque, et c'est votre réputation qui est écornée. Il convient donc de les protéger comme vous protégez une affiche de prix.

Comment utiliser des codes QR dans votre entreprise en toute sécurité

1. Pointez vers votre propre domaine. Utilisez une adresse courte et reconnaissable de votre site (votresite.es/carte) plutôt qu'un lien raccourci de tiers que vous ne contrôlez pas.
2. Préférez les codes statiques qui contiennent directement l'adresse : ils ne dépendent pas d'un service qui peut expirer, devenir payant ou être manipulé. Vous pouvez les créer avec notre générateur de codes QR gratuit, qui fonctionne dans votre navigateur et vérifie que le code se lit.
3. Écrivez l'adresse sous le QR. Celui qui se méfie pourra la taper à la main.
4. Rendez le QR difficile à recouvrir : imprimez-le directement sur la carte ou l'affiche et vérifiez régulièrement qu'il n'y a pas d'autocollants par-dessus, surtout sur les tables, les comptoirs et les vitrines.
5. Évitez les QR dans les courriers et les avis de paiement urgent. Ne demandez jamais de données de carte via un code scanné reçu par e-mail ou dans la boîte aux lettres.
6. Soignez la cohérence de votre marque. Un QR avec votre logo et vos couleurs aide à le reconnaître, même s'il n'empêche pas à lui seul que quelqu'un le falsifie.
7. Mesurez les scans. Si vous ajoutez des paramètres UTM au lien avec le générateur d'UTM, vous verrez combien de visites chaque QR apporte et vous remarquerez si le trafic de l'un d'eux chute soudain (signe qu'il a peut-être été remplacé).

Que faire si vous découvrez que quelqu'un a falsifié votre QR

• Retirez le faux code et prenez des photos avant de le faire (elles serviront de preuve).
• Déposez plainte auprès de la Police nationale ou de la Guardia Civil et prévenez l'INCIBE (017).
• Informez vos clients, par vos canaux officiels, de la façon de reconnaître votre code authentique.
• Demandez le retrait du faux site à l'hébergeur et au registrar du domaine, et signalez-le comme site de phishing.
• Vérifiez que votre propre site et vos e-mails sont bien protégés pour qu'ils ne soient pas utilisés contre vous.

Protégez aussi les e-mails que vous envoyez

Un faux QR arrive souvent accompagné d'un e-mail qui usurpe une entreprise. Si votre domaine n'a pas SPF, DKIM et DMARC configurés, il est plus facile pour quelqu'un d'envoyer des messages en votre nom. Vous trouverez les étapes dans notre comparatif Google Workspace et Microsoft 365, et le contexte de l'évolution des fraudes avec l'IA dans l'article sur le phishing par IA et les deepfakes. Si vous encaissez par Bizum ou recevez des virements, lisez aussi l'arnaque du Bizum inversé.

Attention à la période des achats

Aux périodes de nombreux achats en ligne, comme le Black Friday, les tentatives d'usurpation de boutiques augmentent. Nous avons réuni les mesures spécifiques dans notre guide sur les arnaques du Black Friday qui usurpent votre boutique.

Comment Mitza peut vous aider

Nous vous aidons à examiner où vous utilisez des codes QR, à les faire pointer vers votre domaine et à mesurer leurs performances, et à protéger votre site et votre messagerie pour que personne ne puisse utiliser votre marque contre vos clients. Découvrez le service de maintenance informatique ou écrivez-nous depuis la page de contact.