Le mécanisme est simple et redoutablement efficace : un QR code collé sur une affichette « chien perdu » (ou un horodateur, une amende de parking, un courrier bancaire) ne renvoie jamais vers une plateforme de don sécurisée, mais vers un site cloné qui aspire les données de la carte bancaire en quelques secondes. C’est le principe du « quishing », contraction de QR code et phishing, une arnaque qui explose littéralement en Belgique depuis le début de l’année.
Le scénario décrit ici, ce petit geste solidaire de dix euros pour un chien qu’on ne reverra jamais, transformé en cauchemar bancaire deux jours plus tard, n’a rien d’isolé. Les chiffres communiqués par le Centre pour la Cybersécurité en Belgique donnent le vertige : « dans les trois premiers mois de 2026, à environ 42.000 signalements en moyenne » de phishing par jour, contre 25.000 à 27.000 en 2025. Une hausse de près de 50% en quelques mois, portée en bonne partie par cette nouvelle génération d’arnaques au code-barres carré.
À retenir
- Pourquoi les arnaqueurs ciblent précisément les affichettes « chien perdu » et horodateurs
- Comment un simple autocollant peut transformer un geste solidaire en cauchemar bancaire
- Les trois réflexes salvateurs à adopter avant de scanner n’importe quel code QR
Comment un simple autocollant peut vider un compte
La technique elle-même n’a rien de sorcier, et c’est bien ça le problème. Le quishing porte ce nom, contraction des termes QR code et phishing. Ce code peut être affiché dans un lieu public, transmis par message ou mis à disposition sur les réseaux sociaux. Lorsqu’on scanne l’un de ces codes QR malveillants, on peut être redirigé vers un site de phishing qui tentera de soutirer les données précieuses, explique Test Achats, l’association de défense des consommateurs. Dans certains cas, le scan déclenche même le téléchargement d’une application malveillante à l’insu de l’utilisateur.
La police fédérale a d’ailleurs déjà tiré la sonnette d’alarme après des incidents bien documentés. Des horodateurs bruxellois ont été la cible de ce type d’arnaque, avec de faux stickers QR collés par-dessus les vrais pour piéger les automobilistes pressés. Le principe de l’affiche « chien perdu » n’est qu’une variation sur ce même thème : un contexte émotionnel, une urgence apparente (il faut agir vite pour aider l’animal), et un QR code qui ne mène nulle part de bon. La police recommande d’ailleurs un réflexe tout bête mais salvateur : des autocollants peuvent être superposés à un véritable code officiel, et il ne faut pas hésiter à passer sa main sur la surface pour vérifier qu’aucun autocollant n’a été apposé.
Ce qui rend la fraude particulièrement vicieuse, c’est le décalage temporel. Contrairement à un piratage classique où l’argent disparaît immédiatement, ici la carte peut être « activée » frauduleusement sans mouvement visible pendant un jour ou deux, le temps que les escrocs testent la validité des données volées avant de lancer de vraies transactions. D’où ce sentiment glaçant de découvrir, 48 heures après un geste anodin, trois débits qu’on n’a jamais autorisés.
Une explosion qui dépasse largement le chien perdu
Le SPF Économie confirme la tendance de fond. Le SPF Économie continue de recevoir des signalements concernant de faux e-mails et SMS, et les escrocs utilisent désormais aussi le quishing et l’intelligence artificielle pour rendre leurs pièges toujours plus crédibles. Le porte-parole du Centre pour la Cybersécurité en Belgique, Michele Rignanese, décrit un éventail de supports qui donne froid dans le dos : des documents dans l’espace public, comme sur les horodateurs, mais aussi de fausses amendes laissées sur le pare-brise, ou des mails avec un QR code pour régler un problème administratif ou une amende, qui mènent vers des sites frauduleux.
Les zones de police locales multiplient les alertes. Une arnaque particulièrement sophistiquée a récemment été signalée en Belgique : des personnes reçoivent par la poste ce qui semble être une nouvelle carte bancaire, avec une lettre de motivation trompeusement authentique, et pour l’activer, elles sont invitées à scanner un QR code qui mène vers un faux site internet ressemblant beaucoup au vrai site d’un établissement bancaire. Cet été 2026, une autre vague a ciblé les contribuables via un faux mail du SPF Finances annonçant un remboursement fiscal, avec un QR code censé « valider » le virement. Le montant fictif proposé était de 387,45 euros, un chiffre suffisamment précis et crédible pour endormir la méfiance.
Le comble de l’ironie, c’est que même le service censé sauver les victimes est devenu un appât. Test Achats alerte sur une nouvelle variante : des escrocs se font passer pour Card Stop, le service officiel de blocage des cartes, en prétendant qu’une fraude est en cours et qu’il faut « agir ensemble » pour la stopper, alors qu’ils cherchent justement à extorquer les codes de la victime.
Les bons réflexes si vous avez déjà scanné
Si le mal est fait, chaque minute compte. Le numéro officiel à composer est le 078 170 170, celui de Card Stop, disponible 24 heures sur 24 et 7 jours sur 7, en français, néerlandais et anglais, pour bloquer immédiatement tous les moyens de paiement. L’ancien numéro 070 344 344 fonctionne encore mais facture des frais supplémentaires, contrairement au nouveau. Il faut ensuite vérifier scrupuleusement l’historique des transactions récentes et contester sans attendre toute opération suspecte, notamment via macarte.be pour les cartes Visa ou Mastercard.
Avant même d’en arriver là, la prudence de base reste la meilleure arme. Un QR code collé sur un poteau, dans la rue, sans lien avec une plateforme reconnue (association animalière officielle, refuge identifié, réseau comme Pet Alert) doit systématiquement éveiller la méfiance. Vérifier l’URL affichée avant de valider quoi que ce soit, refuser d’encoder des données bancaires sur une page qui n’affiche pas clairement le nom d’un organisme identifiable, et privilégier un don en main propre ou via un site que l’on a soi-même recherché plutôt que scanné, voilà qui évite bien des mauvaises surprises. Petit détail qui a son importance : les vraies associations de recherche d’animaux perdus ne demandent quasiment jamais de coordonnées bancaires directement via un QR code planté sur un lampadaire, elles orientent plutôt vers leur site officiel ou une cagnotte nominative vérifiable.
Sources : rtbf.be | lavenir.net