Le code QR s’est glissé partout : au restaurant pour consulter le menu, sur les parcmètres pour payer, sur les colis pour suivre une livraison. Cette commodité a un revers, que les autorités suisses désignent par un mot un peu barbare : le quishing. Contraction de « QR » et de « phishing » (hameçonnage), le quishing consiste à piéger une victime en lui faisant scanner un code QR qui la dirige vers un faux site, dans le but de lui soutirer des données personnelles ou de l’argent.

L’Office fédéral de la cybersécurité (NCSC, l’autorité fédérale chargée de la cybersécurité) a documenté plusieurs variantes de cette arnaque au cours du premier semestre 2026. Voici comment elles fonctionnent, et comment ne pas tomber dedans.

L’arnaque du faux avis de passage

Dans sa rétrospective de la semaine 24 (mi-juin 2026), le NCSC décrit une escroquerie particulièrement soignée. Des criminels déposent dans les boîtes aux lettres de faux avis de passage imitant les avis jaunes officiels de La Poste suisse. Le document invite le destinataire à scanner un code QR pour reprogrammer une livraison prétendument manquée.

Le code renvoie vers un faux site La Poste, très convaincant. Après avoir choisi un créneau de livraison, la victime doit fournir ses données personnelles (nom, date de naissance, adresse, courriel, numéro de téléphone). Le site réclame enfin les coordonnées de la carte bancaire pour de prétendus frais de traitement de quelques francs (entre 2.10 et 3.99 francs selon les cas observés). Le montant est volontairement dérisoire pour ne pas éveiller les soupçons, mais l’objectif réel est de récupérer les données de la carte et l’identité complète de la victime.

Parcmètres et bornes de recharge : le piège physique

Le quishing ne passe pas que par la boîte aux lettres. Une autre technique consiste à coller un faux code QR par-dessus un vrai, sur un support public. La RTS a rapporté des cas visant les conducteurs de voitures électriques : de faux autocollants apposés sur des bornes de recharge redirigent l’automobiliste vers un faux site de paiement. Le même procédé a été observé sur des parcmètres, où le faux code réclame le règlement d’une amende ou d’un stationnement par carte de crédit.

Un touriste suisse a même été visé à deux reprises lors de voyages à l’étranger, avec des tentatives d’achats frauduleux heureusement bloquées. Ce détail est important : une fois vos coordonnées bancaires captées, elles peuvent servir bien au-delà du montant annoncé.

Comment reconnaître et éviter le piège

Les recommandations du NCSC tiennent en quelques réflexes simples.

Méfiez-vous des codes QR figurant sur des documents physiques inattendus ou sur des supports publics facilement accessibles. Avant de valider quoi que ce soit, vérifiez l’adresse web qui s’ouvre après le scan : une adresse qui ne correspond pas exactement au site officiel doit vous alerter. Dans le doute, n’utilisez pas le code : rendez-vous directement sur le site ou l’application officielle du prestataire, et saisissez vous-même le numéro de suivi ou de référence.

Rappelez-vous aussi que La Poste ne facture pas de frais pour une tentative de livraison standard. Toute demande de paiement de ce type est un signal d’alarme. Et si vous avez communiqué les données de votre carte, faites-la bloquer sans attendre.

Ce que cela change pour une PME

Ce sujet dépasse la sphère privée. Vos collaborateurs scannent des codes QR au quotidien, y compris sur des appareils qui accèdent aux systèmes de l’entreprise. Un employé piégé chez lui peut utiliser les mêmes mots de passe au bureau, ou cliquer sur un lien reçu à l’adresse professionnelle. Par ailleurs, si votre entreprise utilise elle-même des codes QR (sur des factures, des supports de communication, des affiches), des criminels peuvent les imiter et détourner vos clients en se faisant passer pour vous, ce qui expose votre réputation.

La sensibilisation régulière de vos équipes est donc un premier rempart efficace, et vous pouvez la mettre en place vous-même. Mais elle ne couvre qu’une partie du problème. Savoir quels de vos processus (paiements, factures, communication client) sont réellement exposés à ce type d’usurpation, et comment les protéger, suppose de regarder votre organisation dans le détail.

En conclusion

Le quishing illustre une tendance de fond : les attaques les plus efficaces ne reposent pas sur une prouesse technique, mais sur la confiance et l’habitude. Un logo familier, un geste banal, et le piège se referme. Informer et former reste à votre portée, et c’est indispensable. Pour aller plus loin et sécuriser durablement vos processus internes, une analyse adaptée à votre entreprise permet d’identifier précisément où se situent vos angles morts, et comment les combler.