Publié le 24 août 2026 à 00h00 par La rédaction

Smartphones : Attention, les faux QR codes se multiplient sur les bornes de recharge

Scanner un QR code est devenu un geste automatique. Pour payer un stationnement, consulter un menu de restaurant ou lancer la recharge d'un véhicule électrique, il suffit aujourd'hui de pointer son smartphone vers un carré noir et blanc. Cette simplicité, qui a largement contribué au succès de cette technologie, attire désormais les cybercriminels. Une nouvelle vague d'escroqueries, baptisée « quishing », connaît une progression rapide et transforme le smartphone en principal point d'entrée des attaques.

Les experts en cybersécurité alertent depuis plusieurs mois sur la multiplication de ces campagnes frauduleuses, notamment autour des bornes de recharge pour véhicules électriques. Derrière un simple QR code peut en réalité se cacher un faux site destiné à voler des informations bancaires ou des identifiants de connexion.

Le succès des véhicules électriques ouvre un nouveau terrain de chasse

L'essor du marché des voitures électriques crée un environnement particulièrement favorable aux fraudeurs. Selon les chiffres de l'Agence internationale de l'énergie (AIE), plus de 20 millions de véhicules électriques ont été vendus dans le monde en 2025, soit une progression de 20 % sur un an. Dans le même temps, les infrastructures de recharge publiques se multiplient à travers l'Europe afin d'accompagner la transition énergétique.

Cette généralisation des bornes constitue toutefois une opportunité inattendue pour les escrocs. Plusieurs affaires ont déjà été recensées en France, en Allemagne, en Belgique, au Royaume-Uni ainsi que dans d'autres pays européens. Leur mode opératoire est particulièrement simple : les fraudeurs collent un autocollant contenant un faux QR code directement sur celui installé par l'opérateur officiel de la borne.

Pour l'utilisateur, rien ne paraît suspect. Le smartphone scanne normalement le code et ouvre une page web qui ressemble en tous points au portail officiel du fournisseur de recharge. Convaincu d'effectuer une opération classique, l'automobiliste saisit ses coordonnées bancaires… qui sont immédiatement récupérées par les cybercriminels.

Le smartphone, maillon faible de cette nouvelle fraude

Le succès du quishing repose largement sur les habitudes des utilisateurs de smartphones. Contrairement à un ordinateur, où les internautes prennent davantage le temps d'examiner l'adresse d'un site Internet, la navigation mobile favorise les gestes rapides. Les URL apparaissent souvent de manière réduite dans le navigateur et sont rarement vérifiées avant de poursuivre la navigation.

Les cybercriminels exploitent précisément cette confiance. Les faux sites sont désormais capables de reproduire presque à l'identique les interfaces officielles des opérateurs de recharge, avec leurs logos, leurs couleurs et leurs formulaires de paiement. En quelques secondes seulement, un utilisateur peut communiquer l'ensemble de ses données bancaires sans remarquer la moindre anomalie.

Dans certains cas rapportés par plusieurs médias européens, l'escroquerie est encore plus discrète. Après avoir récupéré les informations bancaires, les fraudeurs redirigent automatiquement la victime vers la véritable plateforme de paiement afin que la recharge démarre normalement. L'automobiliste quitte alors les lieux sans se douter que ses données ont déjà été compromises. Les premiers signes de la fraude n'apparaissent parfois que plusieurs jours plus tard, lorsque des transactions inconnues sont détectées sur le compte bancaire.

Une technique qui dépasse largement les bornes de recharge

Si les infrastructures destinées aux véhicules électriques sont aujourd'hui particulièrement ciblées, elles sont loin d'être les seules.

Les horodateurs installés dans de nombreuses villes européennes font eux aussi l'objet de campagnes similaires. Là encore, des autocollants recouvrent les QR codes officiels afin de rediriger les automobilistes vers une fausse plateforme de paiement. Le préjudice peut être double : les coordonnées bancaires sont volées et le stationnement n'est jamais réellement réglé, exposant le conducteur à une contravention.

Cette méthode s'inscrit dans une évolution plus large du phishing traditionnel. Là où les escroqueries reposaient autrefois essentiellement sur les courriels frauduleux ou les faux SMS, les QR codes deviennent désormais un vecteur privilégié. Leur omniprésence depuis la pandémie de Covid-19 leur confère une apparence légitime qui inspire spontanément confiance.

Pourquoi cette attaque fonctionne aussi bien

Le principal atout du quishing réside dans son apparente simplicité. Lorsqu'un conducteur découvre une borne de recharge qu'il n'a jamais utilisée, il ne possède pas forcément l'application officielle de l'opérateur. Scanner le QR code affiché semble alors être la solution la plus rapide pour démarrer la recharge.

Les cybercriminels exploitent ce réflexe. Ils savent que les utilisateurs sont souvent pressés, concentrés sur leur trajet et peu enclins à contrôler minutieusement l'adresse du site qui s'affiche sur leur smartphone.

Certaines analyses évoquent même l'utilisation ponctuelle de dispositifs capables de perturber temporairement les connexions mobiles afin d'inciter davantage les utilisateurs à passer par le QR code présent sur la borne. Même si ce type d'attaque reste beaucoup plus rare, il illustre le niveau de sophistication que peuvent atteindre certaines campagnes.

Quelques réflexes simples permettent d'éviter le piège

La première précaution consiste à examiner physiquement le QR code avant de le scanner. Un autocollant mal posé, une impression de mauvaise qualité ou un élément visiblement ajouté récemment doivent immédiatement susciter la méfiance.

Lorsque cela est possible, mieux vaut utiliser directement l'application officielle du réseau de recharge plutôt que de passer par un QR code. De nombreux opérateurs proposent également un paiement via leur propre application, une carte RFID ou directement par carte bancaire.

Après avoir scanné un QR code, il est essentiel de vérifier attentivement l'adresse du site Internet affiché sur le smartphone. Une seule lettre différente dans le nom de domaine peut suffire à révéler une tentative d'usurpation.

Les spécialistes recommandent également de se méfier des pages contenant des fautes d'orthographe, des formulations maladroites ou des messages invitant à agir dans l'urgence. Maintenir son smartphone à jour, activer l'authentification multifacteur sur les services compatibles et utiliser une solution de sécurité capable de détecter les sites frauduleux constituent également des protections efficaces.

Réagir immédiatement en cas de doute

Si des informations bancaires ont été saisies sur une page suspecte, la rapidité de réaction est déterminante.

Il est conseillé de faire immédiatement opposition à sa carte bancaire ou de la bloquer temporairement depuis l'application de sa banque, puis de surveiller attentivement les opérations effectuées sur le compte afin d'identifier d'éventuelles transactions frauduleuses. Il est également recommandé de prévenir son établissement bancaire et de signaler l'escroquerie sur la plateforme Cybermalveillance.gouv.fr ou auprès des autorités compétentes.

Le QR code, un nouveau défi pour la cybersécurité mobile

Le développement des véhicules électriques illustre parfaitement la capacité des cybercriminels à adapter leurs méthodes aux nouveaux usages numériques. Là où le phishing passait autrefois principalement par les courriels ou les SMS, il s'invite désormais dans les gestes du quotidien, directement à travers l'appareil que chacun garde en permanence dans sa poche.

Cette évolution rappelle qu'un smartphone n'est pas seulement un outil de communication ou de paiement, mais aussi une cible de choix pour les fraudeurs. Face à cette nouvelle génération d'attaques, quelques secondes consacrées à vérifier un QR code ou l'adresse d'un site peuvent suffire à éviter le vol de données personnelles et bancaires.

~~~~~~~~

Guides & Comparatifs France Mobiles