800 procédures pénales, QR codes frauduleux, autocollants sur bornes de recharge, les réflexes qui évitent le piège en France

Les faux QR codes collés sur des bornes de recharge publiques continuent de piéger des automobilistes en France. Le mécanisme est simple, un autocollant frauduleux recouvre le QR code d’origine, puis redirige vers une page de paiement imitant un service légitime, avec à la clé des données bancaires aspirées et, dans certains cas, des prélèvements récurrents qui passent inaperçus plusieurs semaines. Selon des informations relayées par la presse régionale, l’Unité nationale Cyber recense désormais plus de 800 procédures pénales en cours liées à des QR codes frauduleux, signe d’un phénomène installé sur le territoire.

Le risque est accentué par l’usage courant du QR code dans les parcours de recharge, surtout sur des équipements ne disposant pas d’un terminal de paiement par carte ou lorsque le paiement via application n’est pas encore configuré. Dans ce contexte, l’arnaque s’appuie sur un geste devenu automatique, scanner, payer, brancher. Les spécialistes parlent de quishing, contraction de QR code et phishing, une variante qui détourne les réflexes de confiance associés aux supports imprimés.

Unité nationale Cyber: plus de 800 procédures, des bornes visées

Le nombre de dossiers évoqué, plus de 800 procédures, montre que l’arnaque ne relève plus de faits isolés. Les QR codes frauduleux sont signalés sur différents supports du quotidien, mais les bornes de recharge constituent une cible attractive, car elles concentrent des usagers pressés, parfois en déplacement, et prêts à payer immédiatement pour récupérer de l’autonomie. Un cas a été documenté sur des bornes dans le Loiret, ce qui confirme que le phénomène touche aussi des zones moins exposées médiatiquement que les grandes métropoles.

La manœuvre repose sur une intervention physique. Un fraudeur colle un autocollant par-dessus le QR code officiel de l’opérateur. L’usager scanne, arrive sur une interface qui peut reprendre des codes visuels plausibles, puis saisit ses coordonnées. Le piège se referme lorsque la page demande un numéro de carte, une date d’expiration, un CVV, parfois une validation type 3-D Secure contournée via ingénierie sociale. À ce stade, la recharge peut ne pas démarrer, ou démarrer via un autre canal, mais les informations ont déjà été captées.

Le danger dépasse l’achat unique. Plusieurs sources alertent sur des abonnements ou prélèvements mensuels dissimulés, présentés comme des frais de service ou une option d’assistance, déclenchés après la saisie des données. Ce type de schéma complique l’identification, car la victime rattache parfois le débit à un usage légitime, surtout si elle a tenté une recharge le même jour.

Les autorités et les opérateurs insistent sur un point, la technique profite d’un environnement hybride, un équipement public, un paiement en ligne, un smartphone personnel. La responsabilité n’est pas uniquement technologique, elle tient aussi à la capacité des réseaux à inspecter régulièrement les façades des bornes, et à la vigilance des usagers au moment du scan, surtout sur des sites très fréquentés, aires de stationnement, centres commerciaux, voirie urbaine.

Chargemap, Ionity, Izivia: vérifier l’opérateur avant de payer

La protection la plus fiable consiste à privilégier les canaux officiels. Avant de scanner un QR code, il est recommandé d’utiliser l’application de l’opérateur, ou une application d’agrégation reconnue comme Chargemap, puis de lancer la session depuis l’interface plutôt que depuis un lien inconnu. Les opérateurs cités dans les recommandations de prévention incluent Ionity, Izivia, MobiVE ou Allego, avec des parcours qui, selon les réseaux, reposent sur un identifiant de borne, une carte RFID, ou un démarrage à distance.

Si le scan reste nécessaire, la vérification doit se faire à deux niveaux. D’abord, sur la borne, rechercher un autocollant suspect, des bords surélevés, une découpe irrégulière, des traces de colle. Un conseil pratique revient souvent, gratter légèrement la surface du QR code officiel pour vérifier qu’aucune couche n’est collée par-dessus. Ensuite, sur le téléphone, lire l’adresse complète du site avant toute saisie, un domaine approximatif, une suite de caractères incohérente, ou une extension inhabituelle doivent faire interrompre la procédure.

Les réseaux qui proposent un terminal de paiement par carte offrent une alternative plus robuste pour une partie du public. Quand un paiement par carte est disponible, le recours au QR code devient moins nécessaire. Autre solution, préparer en amont, créer un compte sur l’application du réseau utilisé le plus souvent, activer les moyens de paiement, et conserver un historique qui aide à repérer un débit anormal. Cette préparation réduit le risque de céder à un site de paiement inconnu au moment où la batterie baisse.

Dans les faits, ces arnaques prospèrent aussi sur la confusion entre opérateur, superviseur, plateforme d’itinérance et marque affichée sur la borne. Un lien de paiement peut sembler cohérent parce qu’il affiche une photo de borne ou un vocabulaire de recharge, mais ne correspond à aucun gestionnaire identifié. Une recherche rapide du nom de l’opérateur affiché sur la borne, ou une consultation via une application connue, permet de recouper l’information avant de saisir la moindre donnée.

En cas de doute, la règle la plus simple reste de ne rien renseigner. Une recharge reportée ou effectuée sur une borne voisine coûte moins cher qu’une carte compromise et des démarches bancaires. Sur les sites à risque, un signalement auprès de l’exploitant de la station, du commerce voisin ou de la collectivité peut aussi accélérer le retrait des autocollants, surtout quand plusieurs bornes partagent le même mobilier et les mêmes emplacements de QR code.