Selon l'Agence internationale de l'énergie (AIE), le marché des voitures électriques a atteint de nouveaux sommets en 2025, enregistrant une croissance de 20 % par rapport à 2024 pour dépasser les 20 millions d’unités vendues, conformément aux prévisions de l’édition 2025 du rapport « Global EV Outlook ». En parallèle, l'Union européenne poursuit le déploiement massif de bornes de recharge publiques dans le cadre de sa stratégie de décarbonation des transports. Cette généralisation des bornes de recharge attire désormais les escrocs. Plusieurs cas ont déjà été signalés en France, en Allemagne, au Royaume-Uni, en Belgique et dans d'autres pays européens : des fraudeurs remplacent ou recouvrent les QR codes officiels présents sur les bornes par des QR codes frauduleux destinés à voler les données bancaires des automobilistes. Cette technique, baptisée « quishing » (contraction de QR code et phishing), constitue aujourd'hui l'une des formes de phishing connaissant la plus forte progression.

Le quishing : une évolution du phishing

Le phishing reste l'une des méthodes les plus efficaces utilisées par les cybercriminels. Son principe est simple : tromper une victime afin qu'elle communique volontairement des informations sensibles (identifiants, coordonnées bancaires, données personnelles) ou installe un logiciel malveillant. Le quishing applique exactement le même principe… mais en utilisant un QR code comme point d'entrée.

Longtemps cantonnés à des usages industriels, les QR codes se sont démocratisés pendant la pandémie de Covid-19, devenant omniprésents dans les restaurants, les commerces, les administrations ou les transports. Cette banalisation leur confère aujourd'hui une forte crédibilité aux yeux des utilisateurs. Les fraudeurs exploitent cette confiance en collant simplement un faux QR code par-dessus un QR code légitime. Une fois scanné, celui-ci redirige la victime vers un faux site Internet imitant parfaitement celui d'un opérateur officiel. L'utilisateur pense effectuer un paiement normal, alors qu'il transmet en réalité ses informations bancaires aux cybercriminels. Les smartphones étant généralement moins protégés que les ordinateurs et les utilisateurs vérifiant rarement les URL avant de poursuivre leur navigation, cette technique affiche un taux de réussite particulièrement élevé.

Pourquoi les conducteurs de véhicules électriques sont-ils particulièrement visés ?

Les bornes publiques constituent une cible idéale. De nombreux conducteurs utilisent ponctuellement différents réseaux de recharge et ne disposent pas systématiquement de l'application officielle de chaque opérateur. Scanner un QR code apparaît alors comme la solution la plus rapide pour lancer une recharge. Les cybercriminels exploitent précisément ce réflexe. Concrètement, ils apposent un autocollant contenant un QR code frauduleux sur celui de la borne. Après avoir scanné le code, l'automobiliste est dirigé vers une fausse page de paiement reproduisant fidèlement l'interface de l'opérateur. Les informations bancaires saisies sont immédiatement récupérées par les fraudeurs.

Dans certains scénarios rapportés par plusieurs médias européens, la véritable page de paiement s'affiche ensuite afin que la recharge puisse tout de même être effectuée. La victime ne soupçonne alors aucune fraude avant de constater des paiements frauduleux sur son compte bancaire. Certaines analyses évoquent également la possibilité que des criminels utilisent des dispositifs de brouillage radio afin de perturber temporairement les connexions mobiles et d'inciter davantage les automobilistes à utiliser le QR code affiché sur la borne. Si cette technique reste plus marginale, elle illustre le niveau de sophistication que peuvent atteindre ces campagnes.

Une menace qui dépasse les bornes de recharge

Des campagnes similaires ciblent les horodateurs dans de nombreuses villes européennes. Là encore, des QR codes frauduleux sont collés sur les équipements afin de rediriger les automobilistes vers un faux service de paiement. La victime peut alors subir un double préjudice : le vol de ses coordonnées bancaires et une contravention pour stationnement impayé. En France, les autorités, ainsi que le portail gouvernemental Cybermalveillance.gouv.fr, rappellent régulièrement que les fraudeurs exploitent de plus en plus les QR codes pour mener des campagnes de phishing.

Comment se protéger ?

Quelques précautions permettent de réduire considérablement le risque.

  • Inspectez le QR code avant de le scanner. Un autocollant collé par-dessus un autre, une impression de mauvaise qualité ou un élément qui semble ajouté récemment doivent éveiller votre vigilance.
  • Privilégiez l'application officielle de l'opérateur de recharge lorsque cela est possible. De nombreux réseaux permettent également le paiement direct par carte bancaire ou via une carte de recharge dédiée.
  • Vérifiez toujours l'adresse du site Internet après avoir scanné un QR code. Le nom de domaine doit correspondre exactement à celui de l'opérateur officiel.
  • Méfiez-vous des pages présentant des fautes d'orthographe, une mise en page approximative ou un sentiment d'urgence injustifié.
  • N'autorisez pas automatiquement les actions proposées après le scan d'un QR code si votre smartphone le permet.
  • En cas de doute, contactez directement l'opérateur indiqué sur la borne plutôt que de poursuivre la procédure de paiement.
  • Activez l'authentification multifacteur (MFA) sur vos comptes afin de limiter les conséquences d'un éventuel vol d'identifiants.
  • Maintenez votre smartphone à jour et utilisez une solution de sécurité reconnue capable de détecter les sites frauduleux.

Que faire si vous pensez avoir été victime ?

Si vous avez renseigné vos coordonnées bancaires sur un site suspect :

  • bloquez immédiatement votre carte bancaire via votre application bancaire ou en contactant votre établissement ;
  • surveillez attentivement vos opérations afin de détecter d'éventuels paiements frauduleux ;
  • signalez l'escroquerie à votre banque ;
  • déposez un signalement sur Cybermalveillance.gouv.fr ou auprès des autorités compétentes.

La vigilance reste le meilleur rempart

À mesure que les véhicules électriques se démocratisent, les cybercriminels adaptent leurs méthodes pour exploiter les nouveaux usages numériques. Les QR codes offrent un moyen simple et crédible de tromper les utilisateurs, notamment lorsqu'ils sont pressés ou peu familiers avec un réseau de recharge. Cette menace rappelle qu'en matière de cybersécurité, la prudence reste essentielle, y compris dans les situations du quotidien. Avant de scanner un QR code ou de saisir des informations de paiement, quelques secondes de vérification peuvent suffire à éviter une fraude.