Un autocollant QR code posé par-dessus celui de l’horodateur officiel, et voilà le tour joué : le paiement censé atterrir dans les caisses de la commune part en réalité chez des escrocs, quelque part sur un serveur qu’on ne retrouvera jamais. Ce geste réflexe, scanner le code plutôt que fouiller dans son porte-monnaie pour des pièces, est devenu la norme sur les parkings belges. Et c’est justement cette normalité qui rend l’arnaque redoutablement efficace.
La police fédérale et plusieurs zones de police locales ont déjà tiré la sonnette d’alarme ces derniers étés à propos de ce phénomène, baptisé quishing (contraction de QR code et phishing). Le principe est d’une simplicité déconcertante : des faussaires impriment un autocollant quasi identique au QR code officiel de l’horodateur, parfois avec le logo de la ville ou de l’opérateur de stationnement, et le collent directement dessus. L’automobiliste presse, scanne, paie, sans se douter qu’il vient de transmettre ses données bancaires à un site frauduleux qui imite à s’y méprendre la plateforme légitime.
À retenir
- Un simple autocollant QR code peut détourner votre paiement de parking vers les caisses des escrocs
- Les vacanciers sont les cibles idéales : pressés, sans monnaie locale, sans l’app officielle
- Trois indices visuels simples permettent de repérer la manipulation avant de scanner
Pourquoi ce piège fonctionne aussi bien en Belgique
Depuis la généralisation du paiement dématérialisé du stationnement, beaucoup de villes belges, Bruxelles, Namur, Liège ou encore Anvers, ont multiplié les options sans espèces sur leurs horodateurs. Résultat : le réflexe de sortir son téléphone est devenu quasi automatique, surtout en période de vacances quand on gare la voiture dans une ville qu’on ne connaît pas et qu’on n’a ni monnaie locale en poche ni l’application officielle déjà installée.
C’est précisément ce contexte touristique qui rend la fraude si rentable pour ses auteurs. Un vacancier pressé, garé en double file le temps de charger les valises, n’a ni le temps ni le réflexe de vérifier l’URL affichée après le scan. Il voit un format qui ressemble à un site de paiement, une interface professionnelle, parfois même le nom de la ville dans l’adresse, et il entre sans hésiter son numéro de carte. Les escrocs misent sur cette urgence et cette confiance aveugle envers un objet aussi banal qu’un panneau d’horodateur.
Le mécanisme technique est lui aussi redoutablement simple à mettre en œuvre. Un QR code n’est jamais qu’une image encodant une adresse web. Rien n’empêche quiconque de générer son propre code renvoyant vers n’importe quel site, de l’imprimer sur un autocollant résistant aux intempéries, et de le coller en quelques secondes sur l’original. Pas besoin de piratage informatique sophistiqué, juste d’une imprimante et d’un peu de culot.
Les signaux qui doivent alerter avant de scanner
Certains indices trahissent pourtant la manipulation, à condition de prendre trois secondes pour les observer. Un autocollant légèrement décollé sur un coin, une texture ou une brillance différente du reste du panneau, une superposition mal alignée qui laisse deviner le code original en dessous : ce sont les traces les plus fréquentes d’un collage frauduleux. Les opérateurs de stationnement, eux, n’ajoutent jamais de sticker par-dessus leur propre signalétique.
Une fois le code scanné, l’adresse affichée mérite un coup d’œil attentif avant toute saisie de coordonnées bancaires. Les sites légitimes de paiement du stationnement en Belgique utilisent des noms de domaine reconnaissables et cohérents avec l’opérateur local, souvent accompagnés du cadenas de sécurité https. Un site truffé de fautes, avec une adresse à rallonge, des caractères bizarres ou un nom de domaine sans rapport avec la ville, doit immédiatement éveiller la méfiance. Le Centre pour la Cybersécurité Belgique, via sa plateforme Safeonweb, rappelle régulièrement ce type de vigilance de base face aux arnaques par QR code, un phénomène qui ne se limite d’ailleurs pas aux parkings : colis fictifs, fausses amendes, faux remboursements d’impôts suivent la même mécanique.
La meilleure parade reste souvent la plus simple : privilégier l’application officielle de l’opérateur de stationnement, téléchargée à l’avance depuis un store officiel, plutôt que de scanner un code inconnu sur le terrain. La plupart des grandes villes belges renvoient d’ailleurs vers des applications comme celles de leurs sociétés de parking urbain, dont les noms figurent généralement en évidence sur les horodateurs eux-mêmes, pas uniquement sous forme de QR code.
Que faire si on s’est fait avoir
Un paiement suspect détecté après coup impose une réaction rapide. La première étape consiste à contacter sa banque sans attendre pour faire opposition ou signaler la transaction frauduleuse, la fenêtre pour bloquer ou contester un paiement par carte étant généralement courte. Il est également recommandé de déposer plainte auprès de la police locale, en photographiant si possible l’autocollator frauduleux avant qu’il ne soit retiré, ce qui aide les enquêteurs à identifier un mode opératoire répété sur plusieurs horodateurs d’une même zone.
Signaler l’incident via la plateforme Point de contact belge pour signaler les contenus illégaux sur internet (Point de Contact) permet aussi de faire remonter l’information au niveau national, ce qui contribue à repérer des vagues d’arnaques coordonnées plutôt que des incidents isolés. Les communes elles-mêmes ont intérêt à être averties rapidement : plusieurs villes ont déjà dû retirer et remplacer des panneaux entiers après la découverte de stickers frauduleux, preuve que le phénomène ne relève pas de l’anecdote isolée.
Un détail mérite d’être connu avant de céder au réflexe du scan sur la route des vacances : contrairement à une carte bancaire clonée physiquement, une fraude par faux QR code laisse une trace numérique exploitable, le site frauduleux ayant nécessairement un hébergeur et un nom de domaine enregistré quelque part. Ce n’est pas une garantie de récupérer son argent, mais cela donne aux enquêteurs une piste bien plus solide qu’un simple vol à la tire. De quoi relativiser la panique, sans pour autant baisser la garde devant le prochain horodateur venu.