Scanner un QR code en boîte pour payer : est-ce sûr ?

Le quishing, c'est quoi exactement ?

Un QR code n'est qu'un lien encodé. Il ne débite pas votre carte, n'installe rien tout seul, ne lit pas votre téléphone. Il cache juste la destination jusqu'à ce que vous l'ayez scannée : tout le piège est là. Le procédé a un nom, le quishing, contraction de QR code et de phishing.

Il en existe deux formes. La version numérique arrive par mail, souvent dans un PDF, pour passer sous le radar des filtres anti-spam. La version physique est un autocollant : quelqu'un imprime un code, entre, et le colle par-dessus le vrai. Cybermalveillance.gouv.fr cite précisément des « faux QR codes collés sur des parcmètres ou sur des bornes de recharges de véhicule électriques ».

Puis une page s'ouvre. Bonnes couleurs, logo crédible, un montant à régler. Vous tapez seize chiffres. C'est là que part l'argent.

Est-ce que ça arrive vraiment, en 2026 ?

Ce tableau dit une chose qu'il faut entendre : aucun de ces chiffres ne parle des boîtes de nuit. Les 146 % de Microsoft concernent le quishing par e-mail, pas les autocollants. Et nous n'avons trouvé aucune donnée publique mesurant la fraude par autocollant dans les bars, les clubs ou les salles de concert. La version physique existe, mais les cas documentés se concentrent là où le paiement se fait sans témoin : horodateurs, bornes de recharge, faux avis d'amende.

Un club se situe entre ces deux mondes. C'est un lieu fermé, avec du personnel et une licence à perdre : le risque y est plus faible que sur un parking en libre accès. Mais il fait noir, vous avez trois verres dans le nez, et personne ne surveille l'affiche collée près du fumoir.

Quelles vérifications faire en dix secondes, dans le noir ?

1. Lisez le domaine avant de taper quoi que ce soit. Votre appareil photo affiche le lien avant de l'ouvrir : lisez-le, puis relisez la barre d'adresse une fois la page chargée. Ce qui compte, c'est le nom de domaine placé juste avant le premier slash, extension comprise. nomduclub.fr/paiement/..., c'est nomduclub.fr. nomduclub.paiement-securise-tickets.net, non : le vrai domaine est paiement-securise-tickets.net, tout ce qui est à gauche n'est que décor. Les escrocs savent que vous lisez de gauche à droite.

2. Un numéro de carte se saisit chez le prestataire, pas sur un formulaire bricolé. Un petit établissement ne code pas son propre formulaire de carte : il redirige vers une page hébergée. La documentation Checkout de Stripe décrit précisément cette redirection, et sa page sur les domaines personnalisés désigne checkout.stripe.com et buy.stripe.com comme les domaines Stripe par défaut. Un commerçant qui paie l'option sert la même page depuis un sous-domaine de son propre domaine, type payments.exemple.fr. Dans les deux cas, un domaine que vous pouvez identifier. Un formulaire de carte sur un domaine qui ressemble à une suite de mots au hasard : on s'arrête là.

3. Touchez le code. La vérification la plus sous-estimée, et la plus rapide. Passez l'ongle sur le bord : en relief, cloqué, de travers, d'un blanc différent du support, ou un coin qui se soulève, c'est un autocollant posé sur autre chose. Le mode opératoire décrit sur les parcmètres marche aussi bien sur un flyer de club.

4. Refusez tout QR code qui veut vous faire installer une application. Payer un morceau dans un bar ne nécessite aucune installation. Un code qui exige une appli avant de payer n'est pas un raccourci, c'est la charge utile. Si une application est vraiment nécessaire, cherchez-la vous-même sur le store officiel.

5. Utilisez l'appareil photo natif, pas une appli de scan. iOS et Android affichent l'URL de destination avant de l'ouvrir : exactement ce dont vous avez besoin. Le NCSC britannique recommande lui aussi « the QR-scanner that comes with your phone, rather than using an app downloaded from an app store ». Une appli de scan ajoute un intermédiaire, sans bénéfice.

6. Demandez au personnel. Dix secondes : vous montrez le code, « c'est à vous, ça ? ». Le bar sait ce qui est collé sur son mobilier. Si personne ne le reconnaît, c'est un autocollant — dites-le, vous n'êtes pas le premier à l'avoir scanné ce soir.

Qu'est-ce qu'un site légitime ne demandera jamais ?

• Vos identifiants de banque en ligne. Jamais, sous aucun prétexte.
• Le code PIN de votre carte : il sert sur un terminal ou un distributeur, pas dans un formulaire web.
• Un virement de « vérification », ou un paiement « pour confirmer votre identité ».
• Une photo de votre pièce d'identité pour une demande de morceau.
• De désactiver le 3-D Secure, ou de dicter un code SMS à quelqu'un au téléphone.
• D'installer une application avant de payer.

L'un de ces éléments apparaît : vous fermez l'onglet. Aucune de ces demandes n'a de version légitime.

Vous avez payé sur un faux site : que faire ?

Faites opposition maintenant, avant de finir ce paragraphe. Conservez l'URL sur laquelle vous êtes tombé : c'est l'élément le plus utile pour l'enquête.

Service-public.fr est clair : en cas d'opération non autorisée, « la banque doit vous rembourser toutes les sommes débitées », « immédiatement et au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation ». Deux limites de délai figurent sur cette même page : la contestation n'est plus recevable au-delà de 13 mois, et ce délai tombe à 70 jours pour un paiement effectué hors Espace économique européen.

Vous pouvez ensuite signaler la fraude : le téléservice Perceval permet de déclarer en ligne une fraude à la carte bancaire sur internet, à quatre conditions — être victime, être toujours en possession de sa carte, ne pas être à l'origine des achats, et avoir déjà fait opposition.

Ce paragraphe résume des règles publiées par l'administration française. C'est une information générale, pas un conseil juridique : pour votre situation, adressez-vous à votre banque ou à un professionnel du droit.

Où se situe REQ là-dedans ?

REQ est un outil de demandes de morceaux que les DJ affichent en QR code sur la cabine — exactement le type de code dont parle cet article, y compris le soir où quelqu'un en collera un faux par-dessus. Ne nous croyez pas sur parole : quatre points contrôlables dans le noir, sans rien connaître au produit.

• La barre d'adresse affiche reqdj.com. Pas un sosie, pas un sous-domaine d'un autre site.
• Rien à installer côté public : la page de demande est une page web. L'application, c'est le côté DJ.
• Le formulaire de carte est le checkout hébergé par Stripe, sur le domaine de Stripe. REQ n'affiche jamais ses propres champs de carte.
• Pour une demande de morceau, la carte est autorisée, pas débitée, tant que le DJ n'a pas accepté. Une demande refusée libère l'autorisation : aucun débit, et aucun remboursement à réclamer.

Un de ces quatre points tombe, ce n'est pas REQ. Le même test vaut pour n'importe quel outil utilisé dans la salle : un domaine que vous pouvez nommer, un checkout hébergé, rien à installer. Sinon, demandez au bar.