Un paiement par QR code est sûr si vous vérifiez deux choses avant de confirmer : le nom du bénéficiaire et le montant affichés à l'écran. La plupart des fraudes au paiement par QR code se produisent quand quelqu'un saute cette vérification — parce qu'un autocollant recouvrait le vrai code du commerce, ou parce qu'un escroc a envoyé un code qui sort de l'argent au lieu d'en faire entrer. Ce guide explique comment fonctionnent ces paiements, à quoi ressemblent les arnaques courantes, et propose une liste de vérification simple pour les clients comme pour les commerçants.
Comment fonctionne réellement un paiement par QR code
Un QR code est simplement un code-barres carré qui stocke du texte. Dans le domaine des paiements, ce texte pointe généralement vers une demande de paiement : il peut contenir un identifiant de commerçant, un lien vers une application de paiement, ou des coordonnées de compte. Quand vous le scannez avec votre application bancaire ou de paiement, celle-ci lit les informations et affiche un écran de confirmation.
Le point essentiel : scanner ne paie personne. Scanner ouvre seulement un brouillon de transaction. Le paiement n'a lieu que lorsque vous vérifiez les détails et confirmez — généralement avec un code PIN, une empreinte digitale ou la reconnaissance faciale. Cet écran de confirmation est votre occasion de repérer un problème, et c'est le moment le plus important de tout le processus.
Il existe deux flux courants :
- Le client scanne le code du commerçant. Vous scannez le code au comptoir d'une boutique ou sur un présentoir, l'application affiche le nom du commerçant, vous saisissez ou confirmez le montant, puis vous validez.
- Le commerçant scanne le client. Certains systèmes permettent à la boutique de scanner un code affiché dans votre application ; vous approuvez ensuite le montant qu'elle a saisi. Ici, c'est la boutique qui contrôle le montant, alors surveillez l'écran qu'elle vous montre, ou le montant qui apparaît dans votre propre application.
Certains codes sont « statiques » — le même code imprimé est utilisé à chaque fois, et vous tapez vous-même le montant. D'autres sont « dynamiques » — un écran ou un ticket affiche un code neuf avec le montant exact déjà inclus. Les codes dynamiques sont plus difficiles à falsifier, mais les deux types aboutissent au même endroit : un écran de confirmation indiquant qui est payé et pour combien.
Pourquoi les paiements par QR code sont ciblés
Les QR codes sont pratiques précisément parce qu'ils sont opaques. Un humain ne peut pas lire un QR code en le regardant. Vous n'avez aucune idée de ce qu'il contient tant qu'une application ne l'a pas décodé. Cet écart entre ce que vous voyez (un carré d'apparence inoffensive) et ce qu'il fait (lancer un paiement) est exactement ce que les fraudeurs exploitent.
La deuxième raison, c'est l'habitude. Une fois que les gens ont scanné des codes quelques fois sans problème, le geste devient automatique — viser, appuyer, confirmer — parfois en quelques secondes, sans lire l'écran. La rapidité est utile pour les files d'attente, mais elle supprime le seul point de contrôle qui vous protège.
La bonne nouvelle : comme un paiement par QR code se termine toujours par un écran de confirmation montrant le bénéficiaire et le montant, presque toutes les arnaques courantes au QR code sont visibles à ce moment-là. Les ruses décrites ci-dessous essaient toutes de vous faire soit sauter cet écran, soit le lire de travers.
La ruse de l'autocollant : un faux code collé sur un vrai
C'est l'arnaque classique au paiement par QR code. Un fraudeur imprime son propre code de paiement — celui qui envoie l'argent sur son compte — et le colle par-dessus le code légitime sur un horodateur de parking, un comptoir de petite boutique, un étal de marché, un point de location de vélos ou une affiche faisant la promotion d'un don.
Vous scannez ce qui ressemble au code habituel, l'application affiche un nom que vous ne reconnaissez pas (ou vous ne vérifiez pas), vous tapez le montant, et vous payez la mauvaise personne. Le commerce ne reçoit jamais l'argent et peut toujours considérer votre facture comme impayée : vous perdez donc deux fois.
Se protéger prend quelques secondes :
- Examinez le code lui-même avant de scanner. Est-ce un autocollant posé sur autre chose ? Les bords se soulèvent-ils ? Est-il légèrement de travers, ou posé sur une matière différente de ce qui l'entoure ? Un code scotché par-dessus une plaque imprimée est un signal d'alerte.
- Après le scan, lisez le nom du bénéficiaire sur l'écran de confirmation. Si vous payez « Stationnement Municipal » et que l'écran affiche un nom de personne, arrêtez-vous.
- Si le code semble avoir été falsifié, prévenez le personnel ou le propriétaire de la machine, et payez autrement.
« Scannez pour recevoir de l'argent » — l'arnaque inversée
Celle-ci piège les gens qui supposent que tous les QR codes de paiement fonctionnent de la même manière. Un escroc vous contacte — se faisant passer pour un acheteur sur une place de marché en ligne, un « agent de remboursement » d'un livreur, ou quelqu'un qui prétend vous devoir de l'argent — et vous envoie un QR code à scanner « pour que l'argent vous parvienne ».
Voici le piège : scanner un code et confirmer ne fait pas entrer d'argent. Dans les flux utilisés par la plupart des gens, scanner un code de paiement lance un paiement depuis votre compte vers quelqu'un d'autre. Le code de l'escroc n'est qu'une demande de paiement à son profit. Vous confirmez, et vous l'avez payé — exactement l'inverse de ce qui était promis.
La règle est simple et mérite d'être retenue : on ne scanne jamais un code pour recevoir de l'argent. De l'argent qui vous parvient n'exige pas que vous scanniez quoi que ce soit et que vous confirmiez un paiement. Si quelqu'un insiste pour que vous scanniez son code afin de « débloquer » des fonds, de « vérifier votre compte » ou de « finaliser un remboursement », c'est une arnaque. Un vrai remboursement est initié par l'expéditeur ; au mieux, vous pouvez recevoir une demande de paiement via la fonction dédiée de votre propre application — et même là, un vrai remboursement ne demande jamais de saisir un code PIN ni d'approuver un paiement sortant.
Messages urgents et mise sous pression
Beaucoup d'arnaques au paiement par QR code arrivent par message : un SMS ou un message sur une appli de messagerie qui semble venir d'un livreur, d'un service public, de votre banque ou d'un acheteur sur une place de marché. Le message crée un sentiment d'urgence — « votre colis est bloqué, scannez pour régler un petit frais de douane », « votre compte sera bloqué, scannez pour vérifier », « je suis prêt à acheter votre article, scannez pour recevoir l'acompte » — et inclut un QR code ou un lien vers un tel code.
L'urgence est le signe révélateur. Les organisations sérieuses n'exigent pas de paiement ni de vérification de compte via un QR code dans un message non sollicité, et elles ne vous laissent pas quelques minutes pour agir. Quand un message vous pousse à scanner immédiatement sous peine de perdre quelque chose, cette pression est elle-même l'avertissement.
Bonnes habitudes face aux codes non sollicités :
- Ne scannez pas les codes provenant de messages que vous n'attendiez pas, même si l'expéditeur semble officiel. Les noms d'expéditeurs et les logos sont faciles à imiter.
- Si le message prétend venir d'une entreprise avec laquelle vous traitez réellement, contactez-la via le numéro au dos de votre carte, votre application, ou son site officiel — jamais via ce que contient le message.
- N'entrez jamais de coordonnées bancaires, de mots de passe ou de codes à usage unique sur un site auquel vous êtes arrivé en scannant un code reçu dans un message. Une confirmation de paiement dans votre propre application, c'est une chose ; une page web quelconque qui demande vos identifiants, c'en est une autre.
Montants modifiés et habitudes de vérification d'écran
Dans les paiements entre particuliers et certains flux commerçants, le montant est saisi par une personne : le vendeur, ou vous. La fraude dans cet espace est généralement grossière — un montant gonflé, une double facturation, ou une structure « acompte plus frais » qui n'a aucun sens.
Votre défense, c'est l'écran de confirmation. Avant d'approuver un paiement, lisez trois choses :
- Le nom du bénéficiaire. Correspond-il à la personne ou à l'entreprise que vous comptez payer ? Si vous payez un ami, est-ce le bon ami ? Les contacts enregistrés et les noms similaires provoquent aussi des erreurs de bonne foi.
- Le montant. Chiffre par chiffre, décimales comprises. « 45,00 » et « 450,00 » ne diffèrent que d'une frappe sur beaucoup de claviers.
- La devise et la ligne de frais, si votre application en affiche une, surtout pour les paiements transfrontaliers.
Si quelqu'un se tient à côté de vous en vous disant de « confirmer vite », ralentissez. La pression à l'écran de confirmation — un vendeur qui saisit votre téléphone, un « assistant » qui tape à votre place, une foule qui vous presse — est un schéma qu'il faut traiter avec méfiance. Reprenez votre téléphone, lisez l'écran, et si quelque chose cloche, annulez. Annuler une confirmation de paiement en attente est toujours sans risque ; le paiement n'a pas encore eu lieu.
Liste de vérification pour les clients
Avant chaque paiement par QR code, parcourez cette courte liste. Il faut plus de temps pour la lire que pour l'appliquer.
- Inspectez l'état physique du code. Au comptoir, sur une machine ou une affiche : pas d'autocollant, pas de bords qui se soulèvent, pas de code posé bizarrement sur un autre.
- Scannez avec votre propre application de confiance, ouverte depuis votre téléphone — pas une appli appareil photo qui ouvre des liens inconnus, et pas un scanner que le vendeur vous tend.
- Lisez le nom du bénéficiaire sur l'écran de confirmation. Faites-le correspondre à la personne que vous voulez payer.
- Lisez le montant, chiffre par chiffre, avant de confirmer.
- Ne scannez jamais un code pour recevoir de l'argent. Un paiement entrant ne nécessite pas votre confirmation d'un paiement sortant.
- Ignorez les codes urgents dans des messages inattendus. Vérifiez plutôt par les canaux officiels.
- Utilisez un écran privé et un vrai code PIN ou une vérification biométrique. N'approuvez pas un paiement pendant que quelqu'un tient ou observe de près votre téléphone.
- Conservez le reçu ou la capture d'écran de confirmation jusqu'à ce que vous soyez sûr que le paiement était correct. C'est votre preuve si quelque chose tourne mal.
- Signalez immédiatement les problèmes. Si vous avez payé un faux code ou confirmé une demande frauduleuse, contactez votre banque ou votre prestataire de paiement sans attendre et demandez quelles options existent. La rapidité compte ; n'attendez pas.
Liste de vérification pour les commerçants
Les commerçants se protègent eux-mêmes et leurs clients avec quelques habitudes simples.
- Vérifiez vos codes imprimés chaque jour. Cherchez des autocollants, des recouvrements ou des cartes remplacées à chaque comptoir, présentoir et machine. Intégrez-le à la routine d'ouverture.
- Fixez les codes là où ils ne peuvent pas être échangés discrètement — derrière le comptoir, plastifiés, ou sur un présentoir visible depuis votre poste de travail. Gardez l'écran ou le présentoir sous votre surveillance ; un code posé sur une table inoccupée au fond de la boutique est une invitation.
- Utilisez des codes dynamiques si votre prestataire les propose — un code neuf par transaction avec le montant inclus ne laisse rien à recouvrir avec un montant différent.
- Confirmez l'encaissement avant de remettre la marchandise. Vérifiez que l'argent est réellement arrivé sur votre compte — une capture d'écran du client n'est pas une preuve ; une notification dans votre propre application ou un coup d'œil à votre relevé, si. Cela déjoue aussi le bluff du « j'ai payé » et l'accident du mauvais code où le client a payé quelqu'un d'autre.
- Expliquez à votre personnel ce qu'il faut surveiller : un client qui demande à « réparer » le code, un autocollant que vous n'avez pas posé, un client qui semble perplexe devant le nom du bénéficiaire.
- Agissez vite si un code a été falsifié. Remplacez-le, prévenez votre prestataire de paiement, et affichez un court avis demandant aux clients ayant récemment payé un mauvais code de vous contacter — vous pourrez peut-être démêler qui doit quoi, et votre prestataire pourra peut-être agir sur la base des signalements.
- Signalez la fraude à votre banque ou à votre prestataire de paiement même si la perte semble faible. Les signalements aident les prestataires à identifier des schémas et à avertir d'autres commerçants.
Que faire si quelque chose tourne mal
Les erreurs comme les fraudes arrivent. La réponse est la même :
- Arrêtez-vous. N'envoyez pas d'autre argent, et ne scannez rien d'autre que l'autre partie vous enverrait « pour arranger ça ». Une arnaque de suivi courante demande aux victimes de payer des « frais de recouvrement ».
- Contactez immédiatement votre banque ou votre prestataire de paiement via l'application officielle ou le numéro au dos de votre carte. Expliquez ce qui s'est passé, quand, et pour quel montant. Demandez quelles options existent — certains prestataires peuvent geler, annuler ou enquêter sur des transactions, et les chances sont meilleures plus tôt vous signalez.
- Conservez les preuves. Faites une capture d'écran de la confirmation, des messages, et du code si possible. Ne supprimez pas la conversation.
- Prévenez l'autre partie s'il s'agit d'un commerçant. Si vous avez scanné un code falsifié dans une boutique, le commerçant a perdu une vente et ne sait peut-être pas que son code a été remplacé. Le lui dire aide tout le monde.
- Signalez aux autorités compétentes ou aux canaux de consommation de votre pays si le prestataire vous y invite.
Personne ne peut promettre qu'un paiement effectué par erreur sera récupéré — cela dépend du prestataire, du délai et des circonstances. Mais un signalement rapide vaut toujours mieux qu'un signalement lent, et dans bien des cas cela fait la différence entre une erreur récupérable et une perte définitive.
Conclusion
Les paiements par QR code ne sont ni dangereux ni magiques — ce sont des instructions de paiement qui aboutissent sur un écran que vous contrôlez. Tout l'enjeu de la sécurité se joue sur cet écran. Vérifiez le nom du bénéficiaire et le montant avant de confirmer, ne scannez jamais un code pour recevoir de l'argent, méfiez-vous des codes urgents dans des messages inattendus, et si vous tenez un commerce, gardez vos codes imprimés là où vous seul pouvez les modifier. Faites ces quatre choses à chaque fois, et les arnaques les plus courantes au paiement par QR code n'auront plus rien sur quoi s'appuyer.