Faux QR code : quishing, faux avis de passage et faux PV

Un QR code dans un courrier, un avis de passage glissé sous la porte, un papier sur le pare-brise : le faux QR code exploite une habitude devenue réflexe. On scanne sans réfléchir, parce que le code lui-même ne montre pas où il mène. C'est tout l'intérêt de cette arnaque : entre le papier que vous avez sous les yeux et la page qui s'ouvre, il y a un écran noir et un lien invisible.

Le procédé porte un nom, le quishing (hameçonnage par QR code). Il ne remplace pas les autres arnaques, il les prolonge là où le lien cliquable n'existe pas : sur un courrier imprimé, une boîte aux lettres ou un pare-brise. Cybermalveillance.gouv.fr, qui documente le phénomène, le qualifie lui-même de menace encore « relativement mineure » (page mise à jour le 10 août 2026). Autrement dit : ce n'est pas la façon la plus répandue de se faire piéger, mais les cas existent, ils sont documentés par les services publics, et une règle simple suffit à s'en protéger.

Cette règle, c'est l'Assurance Maladie qui la formule le plus clairement, à propos de ses propres courriers : si un QR code figure sur un document officiel, il renvoie vers une information, jamais vers une transaction ni vers une démarche. Un code qui vous demande de payer, de vous identifier ou de « mettre à jour » quelque chose vous fait sortir du cadre officiel.

Ce qu'un vrai courrier officiel ne fait jamais

L'Assurance Maladie décrit précisément les courriers qu'elle envoie : l'enveloppe n'est pas blanche, le courrier est nominatif, avec votre nom et votre prénom, et le QR code éventuel renvoie vers une page d'information, comme une page du site ameli.fr. Elle précise dans la foulée le cas inverse : un courrier non nominatif, dans une enveloppe blanche, qui parle d'une « mise à jour urgente » de votre compte ameli ou de votre carte Vitale au moyen d'un QR code, ne provient pas d'elle.

Ce raisonnement se transpose à tous les organismes publics : ce n'est pas le logo qui garantit l'authenticité, c'est ce que le document vous demande de faire. Un QR code qui réclame un paiement, un identifiant ou la confirmation d'une identité sur une page inconnue est un signal d'alerte, quelle que soit l'en-tête imprimée au-dessus.

Faux avis de passage et codes collés sur les boîtes aux lettres

La Poste documente un mode opératoire précis : des fraudeurs déposent directement dans les boîtes aux lettres de faux avis de passage imitant ses documents, généralement pour vous inviter à scanner un QR code afin de reprogrammer une livraison, payer des frais ou confirmer votre identité. Le document est crédible parce qu'il reprend la mise en page d'un avis classique, et parce qu'un avis de passage est justement le genre de papier qu'on ne lit qu'à moitié.

Le conseil de La Poste est simple : ne scannez pas, ouvrez vous-même son site de suivi et vérifiez l'état réel de votre envoi. Si aucune livraison n'est en attente, l'avis est faux. C'est la méthode générale à retenir contre ce type d'arnaque : la source officielle doit être consultée à la main, jamais atteinte par le lien qu'on vous tend.

Le même procédé fonctionne avec un autocollant : un QR code collé par-dessus le code d'un horodateur, d'une borne ou d'un affichage officiel. Rien dans le papier ne permet de détecter la substitution, ce qui rend la vérification par un autre canal indispensable.

Fausses amendes, faux PV et faux courriers officiels

Cybermalveillance.gouv.fr a documenté des vagues importantes de messages usurpant l'ANTAI, l'agence qui traite les infractions routières, et le service Amendes.gouv.fr, pour réclamer le paiement d'une contravention. Les versions papier et les QR codes complètent ce dispositif : un faux avis de contravention ressemble à s'y méprendre à un vrai, et la peur de la majoration pousse à payer vite.

Les documents officiels falsifiés ne concernent pas que les amendes. La Gendarmerie nationale a documenté la hausse de fausses convocations judiciaires, qui reprennent les logos du ministère de la Justice, d'Europol ou de la Gendarmerie. Là encore, l'objectif est de créer un choc — une procédure, une menace, une échéance — pour vous faire cliquer ou payer sans vérifier.

À l'inverse, l'Arcep rappelle une règle utile pour les appels qui accompagnent parfois ces courriers : elle n'appelle jamais pour informer d'une usurpation d'identité ou d'une suspension de ligne. Un tel appel est une fraude, il faut raccrocher. Notre article sur le vishing et l'usurpation de numéro détaille ce volet vocal.

Comment vérifier un QR code avant de le scanner

Un QR code ne se lit pas à l'œil : il faut le scanner pour savoir où il mène, et c'est bien là le piège. La première protection consiste donc à se passer du scan quand c'est possible. Si le document vient d'un organisme que vous connaissez (Assurance Maladie, La Poste, administration fiscale), rendez-vous directement sur son site ou dans son application, à l'adresse que vous connaissez déjà.

Si vous devez malgré tout scanner — parce que le document est censé venir d'un service dont vous attendez quelque chose —, regardez ce que l'appareil photo affiche avant d'ouvrir le lien : l'aperçu montre l'adresse de destination, et cette adresse doit correspondre au domaine officiel de l'organisme, sans fantaisie ni sous-domaine bizarre. Ne saisissez jamais vos identifiants ou vos coordonnées bancaires sur une page ouverte de cette façon.

Pour tout paiement ou achat en ligne, la même prudence s'applique qu'avec un lien reçu par SMS : notre guide pour vérifier un site avant d'acheter détaille les contrôles à faire en quelques secondes.

Vous avez scanné et saisi vos informations : que faire

Si vous avez scanné le code et refermé la page sans rien saisir, le risque immédiat est faible : supprimez le message ou le papier, et signalez le document. La situation change si vous avez rempli un formulaire. Le premier réflexe est bancaire : appelez votre banque pour faire opposition si vous avez communiqué un numéro de carte, et surveillez vos relevés dans les jours qui suivent.

Si un débit frauduleux apparaît, signalez-le à votre banque et déclarez la fraude sur le portail Perceval, dédié aux fraudes aux moyens de paiement, puis déposez plainte au commissariat ou à la gendarmerie. Conservez le document, la capture d'écran de la page et l'adresse du site frauduleux : ils servent à la fois à la banque et à l'enquête. France Victimes accompagne gratuitement les victimes au 116 006, et la plateforme Info Escroqueries répond au 0 805 805 817, du lundi au vendredi.

Pour les démarches dans l'ordre, notre guide que faire si vous avez été victime d'une arnaque reprend chaque étape. Un proche âgé qui a scanné le code sans comprendre mérite un accompagnement particulier : notre page anti-arnaque senior explique comment l'aider sans le braquer.

Signaler un faux QR code ou un faux courrier

Un SMS ou un MMS suspect se transmet au 33700, le dispositif de signalement opéré avec les opérateurs, qui peuvent fermer les numéros signalés. Un courriel frauduleux se signale sur internet-signalement.gouv.fr ou sur Signal Spam. Un site ou une escroquerie en ligne se déclare sur 17Cyber, le service commun de la Police nationale, de la Gendarmerie nationale et de Cybermalveillance.gouv.fr. Signaler ne répare pas ce qui est fait, mais alimente les fermetures et les avertissements destinés aux autres.

Questions fréquentes

Pour aller plus loin

Article informatif basé sur les informations de l'Assurance Maladie (ameli.fr, « Se protéger des courriers, appels, e-mails et SMS frauduleux », mise à jour du 19/01/2026), de La Poste (laposte.fr/cybersecurite, « Arnaque livraison à domicile »), de Cybermalveillance.gouv.fr (« Quishing : l'hameçonnage par QR code », mise à jour du 10/08/2026, et campagne de messages usurpant l'ANTAI, mise à jour du 10/08/2026), de la Gendarmerie nationale (gendinfo, fausses convocations judiciaires, publié le 11/08/2026) et de l'Arcep (fiche pratique sur les SMS, appels et courriels indésirables, mise à jour du 09/07/2026). Ne communique aucun conseil juridique individualisé.