Vingt millions de voitures électriques vendues en 2025 dans le monde, selon l’Agence internationale de l’énergie, soit 20 % de plus qu’en 2024. L’Union européenne multiplie les bornes de recharge publiques pour accompagner la transition énergétique. Et les escrocs, toujours à l’affût, ont déjà trouvé leur nouvelle niche : les QR codes collés sur ces bornes. France, Allemagne, Royaume-Uni, Belgique, plusieurs pays européens signalent des cas de fraude. Le principe est simple, redoutablement efficace, et repose sur un geste devenu banal : scanner un QR code pour payer.
Le quishing, ou comment un autocollant suffit à voler vos données bancaires
Le phishing, tout le monde connaît. Un faux e-mail, un lien piégé, une page imitant votre banque, et le tour est joué. Le quishing applique exactement la même logique, mais en remplaçant le lien par un QR code. Les fraudeurs collent un autocollant contenant leur propre code par-dessus celui de la borne officielle. L’automobiliste scanne, atterrit sur un faux site de paiement copiant l’interface de l’opérateur, saisit ses coordonnées bancaires, et les criminels n’ont plus qu’à se servir. Dans certains cas, la vraie page de paiement s’affiche ensuite, la recharge fonctionne normalement, et la victime ne soupçonne rien jusqu’à découvrir des débits frauduleux sur son compte.
Pourquoi ça marche si bien ? Parce que les QR codes, longtemps cantonnés à des usages industriels, se sont banalisés pendant la pandémie de Covid-19. Restaurants, commerces, administrations, transports, ils sont partout. Leur omniprésence leur confère une crédibilité que les fraudeurs exploitent sans vergogne. Ajoutez à cela le fait que les smartphones sont généralement moins protégés que les ordinateurs, que les utilisateurs vérifient rarement l’URL avant de poursuivre, et vous obtenez un taux de réussite particulièrement élevé. Le portail gouvernemental Cybermalveillance.gouv.fr rappelle d’ailleurs régulièrement que les QR codes sont devenus un vecteur privilégié des campagnes de phishing.
Pourquoi les conducteurs de véhicules électriques sont des proies idéales
Les bornes publiques constituent une cible de choix. Reprenons : un automobiliste utilise ponctuellement différents réseaux de recharge, il n’a pas systématiquement l’application de chaque opérateur installée sur son téléphone, il est pressé, il veut juste brancher sa voiture et repartir. Scanner un QR code apparaît comme la solution la plus rapide. Les cybercriminels exploitent précisément ce réflexe. Ils apposent un autocollant frauduleux, l’automobiliste scanne sans se méfier, et le piège se referme.
Certaines analyses évoquent même l’utilisation de dispositifs de brouillage radio pour perturber temporairement les connexions mobiles et inciter davantage les automobilistes à utiliser le QR code affiché. Si cette technique reste marginale, elle illustre le niveau de sophistication que peuvent atteindre ces campagnes. Autrement dit, les fraudeurs ne se contentent pas de coller un autocollant, ils adaptent leurs méthodes aux contraintes du terrain.
Une menace qui dépasse les bornes de recharge
Les horodateurs dans de nombreuses villes européennes subissent le même traitement. Des QR codes frauduleux sont collés sur les équipements pour rediriger les automobilistes vers de faux services de paiement. Résultat : la victime subit un double préjudice, le vol de ses coordonnées bancaires et une contravention pour stationnement impayé. Le problème, c’est que les QR codes ne permettent pas de vérifier à l’œil nu vers quelle adresse ils pointent. Contrairement à un lien hypertexte visible dans un e-mail, le QR code reste opaque jusqu’à ce qu’on le scanne. Les fraudeurs jouent sur cette asymétrie d’information.
Quelques secondes de vigilance suffisent
Reste que des précautions simples permettent de réduire considérablement le risque. Inspectez le QR code avant de le scanner : un autocollant collé par-dessus un autre, une impression de mauvaise qualité, un élément qui semble ajouté récemment doivent éveiller votre vigilance. Privilégiez l’application officielle de l’opérateur de recharge lorsque c’est possible. De nombreux réseaux permettent également le paiement direct par carte bancaire ou via une carte de recharge dédiée. Vérifiez toujours l’adresse du site Internet après avoir scanné un QR code : le nom de domaine doit correspondre exactement à celui de l’opérateur officiel. Méfiez-vous des pages présentant des fautes d’orthographe, une mise en page approximative ou un sentiment d’urgence injustifié.
En cas de doute, contactez directement l’opérateur indiqué sur la borne plutôt que de poursuivre la procédure de paiement. Activez l’authentification multifacteur sur vos comptes afin de limiter les conséquences d’un éventuel vol d’identifiants. Maintenez votre smartphone à jour et utilisez une solution de sécurité reconnue capable de détecter les sites frauduleux. Si vous avez renseigné vos coordonnées bancaires sur un site suspect, bloquez immédiatement votre carte bancaire, surveillez vos opérations, signalez l’escroquerie à votre banque et déposez un signalement sur Cybermalveillance.gouv.fr ou auprès des autorités compétentes.
La rançon de la démocratisation
À mesure que les véhicules électriques se démocratisent, les cybercriminels adaptent leurs méthodes pour exploiter les nouveaux usages numériques. Les QR codes offrent un moyen simple et crédible de tromper les utilisateurs, notamment lorsqu’ils sont pressés ou peu familiers avec un réseau de recharge. En réalité, chaque innovation qui facilite la vie quotidienne ouvre de nouvelles opportunités pour les fraudeurs. Le quishing n’est que la dernière déclinaison d’une logique vieille comme le monde : exploiter la confiance et la routine. Avant de scanner un QR code ou de saisir des informations de paiement, quelques secondes de vérification peuvent suffire à éviter une fraude. La vigilance reste le meilleur rempart, y compris dans les situations du quotidien.
