Un simple autocollant collé sur le boîtier d’une borne, et votre carte bancaire change de mains sans que vous vous en rendiez compte. C’est exactement ce qui a failli arriver à une habitante de Saint-Gilles début avril, place Jean Jacobs à Bruxelles, à deux pas du Palais de Justice. En scannant le QR code pour lancer sa recharge, elle est tombée sur un site « erreur », puis sur une page qui n’était pas celle de TotalEnergies. En y regardant de plus près, elle s’est aperçue qu’un autocollant frauduleux avec un code QR avait été placé sur le code de la borne. Le réflexe qui vous fait gagner trente secondes chaque semaine peut, en une seule fois, vider votre compte.
« Je suis choquée », a confié la conductrice à La Dernière Heure. Elle a eu de la chance : elle a vérifié ses relevés bancaires et n’a rien constaté d’anormal. Mais elle a immédiatement pensé aux autres, ceux qui ne prennent pas ce réflexe. « Mais je pense aux personnes plus vulnérables », a-t-elle ajouté. Et elle a raison de s’inquiéter : ce genre d’arnaque, loin d’être isolé, s’est déjà propagé sur d’autres équipements urbains bruxellois. Une arnaque similaire avait déjà été constatée sur des horodateurs bruxellois, où la police avait même interpellé un homme soupçonné d’avoir collé de faux codes QR.
À retenir
- Des faux QR codes cachent des pièges sur les bornes : comment les escrocs opèrent en trois secondes
- Pourquoi votre carte peut être vidée sans que vous ne vous en aperceviez immédiatement
- La solution simple que tout le monde a abandonnée peut vous sauver des débits frauduleux
Le mécanisme, simple comme un autocollant
Le principe porte un nom un peu barbare : le « quishing », contraction de QR code et de phishing. Le quishing applique exactement la même logique que le phishing classique, mais en remplaçant le lien par un QR code : les fraudeurs collent un autocollant contenant leur propre code par-dessus celui de la borne officielle, et l’automobiliste scanne, atterrit sur un faux site de paiement copiant l’interface de l’opérateur, saisit ses coordonnées bancaires, et les criminels n’ont plus qu’à se servir. Le pire, c’est que la comédie peut continuer sans que rien ne cloche apparemment. Dans certains cas, la vraie page de paiement s’affiche ensuite, la recharge fonctionne normalement, et la victime ne soupçonne rien jusqu’à découvrir des débits frauduleux sur son compte.
Pas besoin d’être un génie de l’informatique pour comprendre pourquoi ça fonctionne aussi bien. Ce type d’arnaque se développe rapidement, car les bornes de recharge sont devenues des objets connectés très exposés, et avec plus d’un million de points de charge électrique en Europe, chaque borne est un point d’entrée potentiel vers des données sensibles. Et l’ampleur du phénomène dépasse largement nos frontières. France, Allemagne, Royaume-Uni, Belgique : plusieurs pays européens signalent des cas de fraude, un principe simple, redoutablement efficace, qui repose sur un geste devenu banal, scanner un QR code pour payer. En France, le phénomène a déjà pris une ampleur judiciaire notable : plus de 800 procédures pénales sont déjà en cours pour ce genre d’arnaque.
Pas une nouveauté, mais une escalade
Ce n’est pas la première alerte du genre chez nous. Déjà en mai 2024, le quishing avait fait des ravages en France avant de débarquer en Belgique, au point que certains fournisseurs d’électricité avaient prévenu leurs clients par mail. Le conseil de base donné à l’époque tenait déjà la route : vérifier que les autocollants avec les QR codes apposés sur les bornes de recharge n’ont pas été recouverts d’un autre autocollant. Deux ans plus tard, le message n’a visiblement pas encore pénétré tous les réflexes, tant le geste de scanner reste ancré dans nos habitudes.
Ce qui change, c’est l’échelle. L’explosion du parc automobile électrique offre un terrain de chasse de plus en plus vaste aux escrocs. Vingt millions de voitures électriques ont été vendues en 2025 dans le monde selon l’Agence internationale de l’énergie, soit 20 % de plus qu’en 2024, et l’Union européenne multiplie les bornes de recharge publiques pour accompagner la transition énergétique, un terrain que les escrocs ont déjà repéré. Plus de bornes, plus d’utilisateurs pressés, plus de surfaces à pirater avec un simple bout de vinyle autocollant. La cybersécurité, ici, tient littéralement à la qualité d’impression d’un sticker.
Le badge, ce héros oublié de votre portefeuille
La parade la plus efficace reste d’une bêtise réjouissante : ressortir le badge RFID de l’opérateur, celui qu’on a fini par abandonner au fond de la boîte à gants parce que « le QR code, c’est plus rapide ». Ce petit rectangle de plastique communique directement avec la borne, sans passer par un navigateur, sans afficher de page web, donc sans surface d’attaque pour un faux code collé dessus. Utiliser l’application officielle de l’opérateur, téléchargée depuis un store reconnu, offre la même garantie : aucune redirection possible via un autocollant piraté.
Si le badge reste introuvable et que le QR code s’impose, quelques secondes d’observation valent mieux qu’un débit surprise. Il s’agit de vérifier si le QR code semble faire partie de l’impression d’origine de la borne, et de se méfier d’un autocollant mal aligné, de mauvaise qualité, ou qui semble avoir été collé par-dessus un autre. Une fois la page ouverte, un œil attentif à l’adresse du site et à son orthographe fait souvent la différence : les fautes d’orthographe restent courantes sur les faux sites Internet. En cas de doute après avoir saisi ses données, la réaction doit être immédiate : bloquer immédiatement sa carte bancaire, surveiller ses opérations, signaler l’escroquerie à sa banque et déposer un signalement auprès des autorités compétentes.
Un détail amuse (ou inquiète, au choix) les experts en cybersécurité : ces mêmes autocollants frauduleux ont d’abord fleuri sur les horodateurs bruxellois avant de migrer vers les bornes de recharge, preuve que les escrocs suivent tout simplement les usages qui se démocratisent. La prochaine cible logique ? Les terminaux de paiement sans contact dans les transports en commun, où le réflexe de scanner sans réfléchir est tout aussi ancré. En attendant, le vieux badge dans la boîte à gants n’a jamais eu autant de raisons de reprendre du service.
Sources : lalibre.be | dhnet.be