En bref : un QR code collé sur un parcmètre ou un horodateur n'est pas un moyen de paiement officiel fiable. Dans la plupart des villes, la commune ne demande pas de payer son stationnement en scannant un autocollant apposé sur le mobilier. Si vous avez un doute, payez à l'automate ou par l'application de stationnement que vous connaissez, et ne saisissez jamais votre carte bancaire sur une page atteinte par un QR code non sollicité.
Comment fonctionne l'arnaque
Le principe est d'une simplicité désarmante, et c'est ce qui le rend efficace. Un autocollant portant un QR code est collé sur l'horodateur, souvent par-dessus une zone d'information légitime, parfois par-dessus le QR code officiel lorsqu'il en existe un. Le visuel imite les codes graphiques d'un service public : bleu institutionnel, mention « paiement rapide », logo vaguement officiel.
L'automobiliste pressé scanne, arrive sur une page qui reprend l'apparence d'un service de stationnement, saisit sa plaque, la durée souhaitée, puis ses coordonnées bancaires. La page confirme parfois un paiement qui n'a jamais eu lieu. Le stationnement n'est pas payé, et les données de carte sont entre les mains de l'attaquant.
Pourquoi ça marche si bien
- Le contexte est crédible : payer son stationnement par téléphone est devenu banal.
- La situation crée de la précipitation : on est garé en double file, on est en retard.
- Le QR code ne montre pas sa destination, contrairement à un lien écrit.
- Sur mobile, le navigateur n'affiche qu'une partie de l'adresse, ce qui masque une usurpation de nom de domaine.
Les signes qui doivent alerter
- Un autocollant dont les bords se décollent, ou qui recouvre visiblement un autre élément.
- Une qualité d'impression qui détonne par rapport au reste du mobilier urbain.
- Une adresse de destination qui ne correspond pas à la commune ni à son délégataire de stationnement.
- Un nom de domaine approchant, qui ajoute un mot ou change une lettre par rapport au service officiel.
- Une page qui réclame vos coordonnées bancaires sans jamais proposer d'autre moyen de paiement.
- Des frais de dossier ou de service qui n'existent pas sur le canal officiel.
Le geste qui coûte trois secondes : passez le doigt sur le QR code. Un autocollant surajouté se sent au toucher, ses bords accrochent l'ongle. C'est le test le plus simple et le plus fiable sur le terrain.
Que faire face à un horodateur suspect
- N'utilisez pas le QR code. Payez à l'automate, ou depuis l'application de stationnement que vous avez déjà installée et dans laquelle vous êtes déjà identifié.
- Si vous voulez tout de même vérifier, faites analyser la destination avant de l'ouvrir plutôt que de la visiter.
- Signalez l'autocollant au service stationnement de la commune ou à la police municipale. Le retrait protège les automobilistes suivants.
- Si le support est celui d'un opérateur privé (parking, borne de recharge), prévenez l'exploitant du site.
Si vous avez déjà saisi votre carte
- Contactez votre banque immédiatement et faites opposition. N'attendez pas de voir si un débit apparaît.
- Conservez les preuves : photo de l'horodateur et de l'autocollant, captures de la page, date et heure.
- Signalez les faits sur cybermalveillance.gouv.fr, et déposez plainte en cas de préjudice financier.
- Surveillez vos relevés dans les semaines qui suivent : les données de carte sont parfois revendues et utilisées à retardement.
La réglementation encadre le remboursement des opérations de paiement non autorisées. Signaler vite, et par écrit, améliore la prise en charge du dossier.
Un doute sur un QR code ?
Faites analyser sa destination avant de l'ouvrir. Trois analyses offertes à l'inscription, sans abonnement.
Analyser un QR codeQuestions fréquentes
Les villes utilisent-elles vraiment des QR codes pour le stationnement ?
Certaines collectivités et certains opérateurs proposent un QR code officiel, ce qui rend l'arnaque d'autant plus crédible. La règle prudente reste la même : ne partez pas du QR code affiché sur le mobilier, mais du canal que vous connaissez déjà, application ou automate. En cas de doute, renseignez-vous auprès de la commune.
Comment vérifier un QR code de parcmètre sans prendre de risque ?
La plupart des appareils photo affichent l'adresse de destination avant d'ouvrir la page : lisez-la, et vérifiez qu'elle correspond bien à la commune ou à son délégataire. Pour aller plus loin, faites analyser la destination par un service tiers avant de l'ouvrir.
Mon stationnement est-il payé si j'ai utilisé un faux QR code ?
Non. Le paiement n'a jamais été transmis au service de stationnement, même si la page a affiché une confirmation. Vous restez exposé à un avis de paiement du forfait post-stationnement, en plus du vol de vos données bancaires.
Un antivirus sur mon téléphone m'aurait-il protégé ?
Pas nécessairement. L'attaque ne repose pas sur un logiciel malveillant mais sur la tromperie : la page frauduleuse est un site web ordinaire qui imite un service connu. C'est la vérification de la destination, pas l'antivirus, qui protège.