Un jeudi soir de mi-août, vers 22 heures, deux agents de sécurité coincent une voiture à la sortie du parking LPA des Célestins, en plein centre de Lyon. Le conducteur vient de maquiller au moins quatre bornes de recharge. Son outil : de petits stickers imprimés, collés par-dessus les vrais QR codes.
Rien de sophistiqué. Un bout de papier, une imprimante, et un faux site de paiement. Suffisant pour siphonner des cartes bancaires. Cette affaire lyonnaise résume à elle seule une menace qui monte partout : le quishing. On vous explique comment ça marche, pourquoi ça cartonne, et comment protéger vos collaborateurs et vos données.
L'affaire des Célestins : un procédé artisanal, des dégâts réels
Le mode opératoire tient en trois secondes. L'automobiliste branche sa voiture électrique. Il scanne le QR code de la borne pour payer. Sauf que le QR code n'est pas celui de l'opérateur. C'est un faux, collé par-dessus. Il atterrit sur un site de paiement très ressemblant, saisit ses coordonnées bancaires, et livre tout à l'escroc sans s'en rendre compte.
Un seul détail trahissait l'arnaque : l'adresse ne se terminait pas par .fr mais par un discret .site. Le genre de nuance que personne ne regarde à 22 heures, pressé, en pensant régler un service habituel.
Le suspect ? Un vidéaste de Caluire qui gagne pourtant bien sa vie. En garde à vue, il a reconnu arrondir ses fins de mois de cette façon depuis novembre ou décembre, via un compte ouvert sous un faux nom. Plusieurs milliers d'euros de transactions douteuses y ont déjà refait surface. Les enquêteurs le soupçonnent d'avoir frappé aux Célestins dès mars, puis au parking Saint-Antoine en mai. Deux affaires classées qui se rattachent d'un coup à la sienne.
Il sera jugé à la mi-février en reconnaissance préalable de culpabilité, le plaider-coupable à la française. Il est ressorti libre du commissariat. Ce qu'il faut retenir : le procédé est à la portée de n'importe qui, et il rapporte.
L'autre piège lyonnais : les fausses amendes ZFE
Le QR code sur borne de recharge n'est qu'une facette. À Lyon, les arnaqueurs ont d'abord testé les horodateurs et les faux avis d'amende glissés sous les essuie-glaces. La Métropole de Lyon a d'ailleurs alerté les habitants : des escrocs déposent sur les pare-brises un faux document qui ressemble à s'y méprendre à un courrier officiel de verbalisation, avec un QR code à scanner.
Le prétexte est bien trouvé : une fausse infraction à la Zone à Faibles Émissions, avec une amende de 68 euros à régler via le QR code. Les escrocs exploitent la confusion autour de la ZFE pour rendre le piège crédible. Le phénomène dépasse Lyon : des fausses contraventions circulent aussi à Paris, Massy, Verrières-le-Buisson, et dans d'autres villes.
Difficile de mesurer l'ampleur réelle. Les forces de l'ordre constatent une hausse des signalements, mais les victimes portent souvent plainte plus tard, sur leur lieu de résidence et non sur le lieu de l'infraction. Les chiffres sous-estiment donc le problème.
Le quishing, c'est quoi exactement
Le quishing, c'est du phishing, mais via un QR code. Une variante physique de l'hameçonnage classique. Au lieu d'un lien piégé dans un e-mail, l'escroc mise sur un carré noir et blanc collé dans l'espace public. Le principe reste le même : vous faire cliquer, ou plutôt scanner, pour vous rediriger vers un faux site qui capte vos données.
Pourquoi ça explose maintenant ? Parce que l'usage du QR code s'est banalisé. Selon une étude de l'éditeur McAfee, 62 % de la population scanne régulièrement ces codes. Menu de restaurant, ticket de transport, paiement de borne : le geste est devenu automatique. Et un geste automatique, c'est un geste qu'on ne questionne plus.
L'entreprise de sécurité miio alerte spécifiquement sur les bornes de recharge. Les six millions d'Européens en voiture électrique constituent une cible de choix. Le scénario est toujours le même : le conducteur scanne, saisit sa carte sur un faux site convaincant, la recharge ne démarre jamais, mais un petit montant est immédiatement débité.
Pourquoi ça marche aussi bien
Deux leviers, et ils sont redoutables :
- La confiance dans l'outil. Vous pensez régler un service habituel. Le QR code fait partie du décor, vous ne l'imaginez pas piégé.
- L'urgence. Vous êtes pressé, vous voulez charger votre voiture et repartir. Pas le temps de vérifier l'URL.
Ajoutez à ça un montant débité souvent modeste, donc peu susceptible d'alerter tout de suite. Le temps que vous compreniez, vos données de carte sont déjà revendues ou réutilisées ailleurs. Des alertes similaires se multiplient à Nice, Marseille, Monaco, dans le Loiret et à Melun.
Pourquoi ça concerne votre entreprise, pas juste vos trajets perso
Vous vous dites peut-être que c'est un problème d'automobiliste isolé. Erreur. Vos collaborateurs paient des recharges avec des cartes professionnelles. Ils stationnent en ville avec des véhicules de fonction. Ils reçoivent des e-mails avec des QR codes. Un compte pro compromis, c'est potentiellement bien plus qu'un débit de quelques euros.
Le contexte cyber général va dans le même sens. Le dispositif national Cybermalveillance.gouv.fr a franchi les 500 000 victimes assistées en 2025, en hausse de 20 % sur un an. Les demandes émanant d'entreprises, surtout des TPE et PME, ont bondi de 73 %. Or 6 entreprises sur 10 disent encore ne pas savoir évaluer les conséquences d'une cyberattaque, et 80 % ne s'estiment pas suffisamment préparées.
Le quishing s'inscrit dans cette vague. C'est une porte d'entrée simple, physique, qui contourne vos pare-feu et vos filtres anti-spam. Aucun logiciel de sécurité ne bloque un sticker collé sur une borne. C'est votre vigilance humaine, et celle de vos équipes, qui fait la différence.
Mini-guide : sensibiliser vos équipes et sécuriser les paiements mobiles
Les réflexes à transmettre aux collaborateurs
- Vérifiez l'URL avant de saisir quoi que ce soit. Un site officiel de recharge ou d'amende ne se termine pas par un .site ou un domaine exotique. Regardez le nom de domaine complet, pas juste le début.
- Méfiez-vous du QR code physique dans l'espace public. Sur une borne, un horodateur ou un pare-brise, le collage est le point faible. Passez le doigt : un sticker ajouté par-dessus se sent et se voit souvent.
- Privilégiez l'application officielle de l'opérateur. Plutôt que de scanner le QR de la borne, ouvrez directement l'appli du réseau de recharge que vous utilisez. Vous contournez le piège.
- Aucune amende officielle ne se règle par QR code sur un papier glissé sous l'essuie-glace. Les vrais avis de contravention passent par les canaux officiels. Dans le doute, ne scannez pas, vérifiez sur le site officiel de l'administration.
- Un montant débité sans service rendu, c'est un signal. La recharge ne démarre pas mais vous êtes débité : signalez immédiatement à la banque, faites opposition.
Ce que l'entreprise peut mettre en place
- Des cartes de paiement dédiées, plafonnées. Une carte pro réservée aux recharges et déplacements, avec un plafond bas, limite la casse en cas de compromission.
- L'alerte transaction en temps réel. Activez les notifications sur chaque paiement des cartes pro. Un débit anormal se repère en secondes, pas en fin de mois.
- Une procédure de signalement claire. Vos collaborateurs doivent savoir qui prévenir, comment faire opposition, où signaler. Sans procédure, la réaction traîne, et le préjudice grossit.
- Une charte d'usage qui intègre ces cas concrets. Le quishing a sa place dans vos règles internes, au même titre que le phishing par e-mail.
Sur le volet organisationnel, deux ressources du site peuvent vous aider à cadrer les choses : rédiger une charte d'usage pour ses équipes et, si l'incident survient, le plan de réaction concret en cas de fuite de données. Pour la logique de l'hameçonnage dopé à l'IA, qui suit la même mécanique de confiance et d'urgence, notre analyse du phishing Crédit Agricole complète le tableau.
À retenir avant de scanner
L'affaire des Célestins montre une chose simple : la fraude la plus rentable n'est pas la plus technique. Un sticker, un faux site, une URL en .site que personne ne lit. Le point faible, ce n'est pas la technologie, c'est le geste réflexe.
Trois actions à lancer cette semaine : diffusez les cinq réflexes ci-dessus à vos équipes qui utilisent des véhicules ou des cartes pro, plafonnez et surveillez les cartes de paiement, écrivez une procédure de signalement en trois lignes que tout le monde comprend. Le quishing ne va pas disparaître. Mais une équipe qui vérifie l'URL avant de payer devient une cible bien moins facile.
Laisser un commentaire