Vous garez votre voiture, vous approchez votre carte ou votre téléphone de l’horodateur pour payer quelques euros de stationnement, et quelques jours plus tard votre relevé bancaire affiche un prélèvement que vous ne reconnaissez pas. La scène n’a rien d’imaginaire : le 21 septembre 2026, la Ville de Luxembourg a alerté la population après la découverte d’un dispositif de paiement frauduleux fixé sur un horodateur de la capitale, comme l’a rapporté la presse française et luxembourgeoise le 22 septembre 2026. Quelques semaines plus tôt, ce sont de faux QR codes se présentant comme ceux d’une application de stationnement bien connue qui avaient déjà été collés sur ces mêmes appareils. Pour les frontaliers, les touristes et tous les automobilistes qui paient leur stationnement par carte, la question devient très concrète : comment réagir quand le simple geste de payer son parking tourne à l’escroquerie sur internet ? Cet article explique la marche à suivre en droit français : porter plainte utilement, puis obtenir de la banque le remboursement des sommes détournées.
I. Escroquerie sur internet : comment porter plainte après un faux QR code
Coller un faux QR code sur un horodateur ou fixer un faux lecteur sans contact sur la zone de paiement, c’est fabriquer de toutes pièces une apparence trompeuse pour capter l’argent des automobilistes. En droit pénal français, ce procédé porte un nom précis et une peine lourde. Encore faut-il déposer une plainte qui permette aux enquêteurs de travailler, avec les bonnes pièces et dans les bons délais.
A. Escroquerie en ligne : déposer plainte au commissariat, à la gendarmerie ou en ligne
L’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge ». Le texte punit le délit ainsi : « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende » (article 313-1 du code pénal). Un faux QR code qui renvoie vers une page de paiement pirate, ou un boîtier qui imite un lecteur sans contact pour intercepter les données de la carte, entre sans difficulté dans la catégorie des manoeuvres frauduleuses : la victime est trompée et c’est cette tromperie qui la détermine à payer, à son préjudice.
Quand ces agissements sont organisés à plus grande échelle, les peines s’alourdissent. L’article 313-2 du code pénal prévoit que « Les peines sont portées à sept ans d’emprisonnement et à 750 000 euros d’amende lorsque l’escroquerie est réalisée » dans plusieurs circonstances, notamment « Au préjudice d’une personne dont la particulière vulnérabilité, due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse, est apparente ou connue de son auteur », et que « Les peines sont portées à dix ans d’emprisonnement et à 1 000 000 euros d’amende lorsque les escroqueries mentionnées à l’article 313-1 et aux 1° à 4° bis du présent article sont commises en bande organisée » (article 313-2 du code pénal). La presse a ainsi relaté des arnaques à l’horodateur visant des personnes âgées à Toulouse, avec un suspect mis en cause dans vingt-sept affaires : autant de dossiers où la vulnérabilité des victimes et l’organisation en série peuvent changer la qualification retenue par le parquet.
Concrètement, la première démarche consiste à faire enregistrer les faits par les services d’enquête. L’article 15-3 du code de procédure pénale dispose : « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents » (article 15-3 du code de procédure pénale). Aucun service ne peut donc refuser votre plainte au motif que l’horodateur piégé se trouvait dans une autre ville, voire dans un autre pays : la plainte est reçue puis, s’il y a lieu, transmise au service territorialement compétent. Si les faits se sont produits au Luxembourg, signalez-les également sur place, la police grand-ducale ayant invité les automobilistes à composer le 113 en cas de dispositif suspect, mais déposez aussi plainte en France pour faire valoir vos droits au remboursement et à réparation.
Le dépôt peut également s’effectuer par voie électronique. L’article 15-3-1 du code de procédure pénale prévoit : « Lorsque, dans les cas et selon les modalités prévues par décret, la plainte de la victime est adressée par voie électronique, le procès-verbal de réception de plainte est établi selon les modalités prévues à l’article 801-1 et le récépissé ainsi que, le cas échéant, la copie du procès-verbal peuvent être adressés, selon les modalités prévues par décret, à la victime dans les meilleurs délais » (article 15-3-1 du code de procédure pénale). Le même texte précise que « La plainte par voie électronique ne peut être imposée à la victime » : vous restez libre de vous déplacer au commissariat ou à la brigade de gendarmerie, et un déplacement reste souvent utile pour montrer les pièces sur place. Dans tous les cas, exigez le récépissé de dépôt de plainte et conservez-en une copie : c’est ce document que votre banque et, le cas échéant, votre assurance vous réclameront.
Si votre plainte simple reste sans réponse, le droit vous ouvre une seconde voie. L’article 85 du code de procédure pénale dispose : « Toute personne qui se prétend lésée par un crime ou un délit peut en portant plainte se constituer partie civile devant le juge d’instruction compétent en application des dispositions des articles 52, 52-1 et 706-42 », à condition de justifier « soit que le procureur de la République lui a fait connaître, à la suite d’une plainte déposée devant lui ou un service de police judiciaire, qu’il n’engagera pas lui-même des poursuites, soit qu’un délai de trois mois s’est écoulé depuis qu’elle a déposé plainte devant ce magistrat, contre récépissé ou par lettre recommandée avec demande d’avis de réception » (article 85 du code de procédure pénale). Pour une escroquerie dont l’auteur court toujours, cette plainte avec constitution de partie civile permet de contraindre l’ouverture d’une information judiciaire et de demander réparation dans le même cadre.
B. Escroquerie sur internet : rassembler les preuves du paiement détourné
Une plainte pour escroquerie n’aboutit que si elle décrit précisément la manoeuvre et chiffre le préjudice. Les enquêteurs et, plus tard, le tribunal auront besoin de comprendre comment un geste banal, payer son stationnement, s’est transformé en détournement d’argent. Votre rôle de victime consiste donc à figer les preuves dès les premières heures, avant qu’elles ne disparaissent.
Photographiez d’abord tout ce qui est visible : l’horodateur, l’autocollant portant le QR code frauduleux, le boîtier suspect fixé sur la zone de paiement, l’environnement immédiat avec si possible un repère de lieu et de date. La Ville de Luxembourg a donné un indice précieux, repris par la presse le 22 septembre 2026 : sur un horodateur conforme, la zone de paiement sans contact est intégrée à la façade et forme une surface plane, jamais un boîtier rapporté, un module ou un élément saillant. Tout élément rapporté, surépais ou collé est donc anormal : vos photographies permettront de le démontrer. Si vous avez scanné le QR code, conservez l’adresse exacte de la page vers laquelle il renvoyait, par capture d’écran avec l’adresse visible, sans y saisir à nouveau vos coordonnées.
Reconstituez ensuite la chaîne complète du paiement : relevés bancaires faisant apparaître le débit litigieux, notifications de l’application bancaire, messages de confirmation reçus par SMS ou par courriel, historique de l’application de stationnement si vous en utilisez une. Notez l’heure exacte du stationnement, le numéro de l’horodateur ou de la place, le montant réellement dû et le montant débité. Lorsque le faux lecteur a intercepté les données de votre carte, des opérations postérieures peuvent apparaître chez des commerçants que vous ne connaissez pas : relevez-les une à une, car chacune devra être contestée auprès de la banque.
Chiffrez enfin l’intégralité de votre préjudice : sommes détournées, frais bancaires éventuels, coût d’une nouvelle carte, temps passé aux démarches. Joignez à la plainte les copies de ces pièces et gardez les originaux. Une plainte documentée accélère l’enquête, facilite le rapprochement avec d’autres victimes du même dispositif et fonde votre demande de remboursement bancaire, qui obéit à des règles propres détaillées ci-après.
II. Paiement détourné par un faux QR code : se faire rembourser par la banque
Au pénal, l’auteur risque jusqu’à cinq ans d’emprisonnement. Au civil et en pratique bancaire, l’urgence pour la victime est ailleurs : récupérer l’argent prélevé sans son accord. Le code monétaire et financier organise un régime protecteur pour les opérations de paiement non autorisées, avec un remboursement rapide de principe et une charge de la preuve qui pèse sur la banque. Encore faut-il agir vite et dans les formes.
A. Opération non autorisée : bloquer et exiger le remboursement immédiat
Dès que vous constatez un débit suspect, prévenez votre banque sans tarder pour faire bloquer l’instrument de paiement. L’article L133-17 du code monétaire et financier dispose : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci » (article L133-17 du code monétaire et financier). Cet appel, passé au numéro d’opposition de votre banque, fixe le point de départ de votre protection renforcée : l’article L133-20 du même code prévoit : « Après avoir informé son prestataire ou l’entité désignée par celui-ci, conformément à l’article L. 133-17 aux fins de blocage de l’instrument de paiement, le payeur ne supporte aucune conséquence financière résultant de l’utilisation de cet instrument de paiement ou de l’utilisation détournée des données qui lui sont liées, sauf agissement frauduleux de sa part » (article L133-20 du code monétaire et financier). Notez le numéro de dossier d’opposition, l’heure de l’appel et le nom de l’interlocuteur.
Formulez ensuite une contestation écrite de chaque opération litigieuse, en visant expressément le caractère non autorisé des paiements. L’article L133-18 du code monétaire et financier dispose : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 » […] (article L133-18 du code monétaire et financier). Le remboursement est donc la règle : il doit intervenir dès que la banque a connaissance de l’opération, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant votre signalement, avec remise du compte dans l’état où il se serait trouvé sans l’opération frauduleuse, sauf si l’établissement soupçonne une fraude de votre part et en informe par écrit la Banque de France. Joignez à votre courrier le récépissé de plainte : sans être exigé par le texte, il rend le refus bancaire beaucoup plus difficile à assumer.
Respectez impérativement le délai de contestation. L’article L133-24 du code monétaire et financier prévoit : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III » (article L133-24 du code monétaire et financier). Passé treize mois à compter du débit, votre droit au remboursement est forclos : contester dès les premiers jours, c’est non seulement accélérer le remboursement, mais aussi sécuriser le délai.
Si la fraude a consisté à détourner votre instrument à votre insu, sans que vous ayez communiqué le moindre code, la loi vous protège totalement. L’article L133-19 du code monétaire et financier dispose : « La responsabilité du payeur n’est pas engagée si l’opération de paiement non autorisée a été effectuée en détournant, à l’insu du payeur, l’instrument de paiement ou les données qui lui sont liées », et qu’« Elle n’est pas engagée non plus en cas de contrefaçon de l’instrument de paiement si, au moment de l’opération de paiement non autorisée, le payeur était en possession de son instrument » (article L133-19 du code monétaire et financier). Le faux boîtier fixé sur l’horodateur, qui intercepte les données de la carte à l’insu de l’automobiliste, correspond exactement à ce cas de détournement : la banque ne peut alors vous opposer ni franchise ni partage de responsabilité.
Ce régime du détournement à votre insu se distingue du cas de la perte ou du vol de la carte : dans cette seconde hypothèse, le même article limite la participation du payeur avant opposition : « les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 € » (article L133-19 du code monétaire et financier). Conservez donc précieusement votre carte et signalez sa disparition sans attendre si vous la perdez : passé l’opposition, la protection redevient totale, sauf fraude prouvée de votre part.
B. Banque qui refuse de rembourser : négligence grave et charge de la preuve
En pratique, certaines banques rejettent la demande en soutenant que le client aurait validé l’opération ou manqué de vigilance. Ce refus ne vaut que si l’établissement démontre une faute précise de votre part, car c’est à lui de prouver, et non à vous de vous disculper. Les tribunaux appliquent cette règle avec constance dans les affaires d’hameçonnage et d’usurpation d’identité bancaire.
La Cour de cassation a posé un principe désormais classique : « manque, par négligence grave, à son obligation de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés l’utilisateur d’un service de paiement qui communique les données personnelles de ce dispositif de sécurité en réponse à un courriel qui contient des indices permettant à un utilisateur normalement attentif de douter de sa provenance, peu important qu’il soit, ou non, avisé des risques d’hameçonnage » (Cour de cassation, chambre commerciale, 28 mars 2018, n° 16-20.018, décision publiée au Bulletin). Autrement dit, la négligence grave suppose des indices objectifs que même un utilisateur normalement attentif aurait relevés. Un horodateur officiel, en pleine rue, muni d’un autocollant ou d’un boîtier imitant parfaitement le dispositif de paiement, ne présente par nature aucun indice de fraude décelable par un automobiliste ordinaire : payer normalement son stationnement n’est pas une négligence, c’est l’usage attendu de l’appareil.
Le même jugement rappelle une règle de preuve souvent décisive dans les litiges de remboursement : en application des articles L133-19, IV, et L133-23 du code monétaire et financier, c’est à la banque d’établir que le client qui affirme ne pas avoir autorisé une opération a agi frauduleusement ou a manqué, intentionnellement ou par négligence grave, à ses obligations, et cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles associées ont techniquement servi (le tribunal vise l’arrêt de la chambre commerciale du 18 janvier 2017, n° 15-18.102). Concrètement, le simple fait que votre carte ou vos codes aient techniquement servi au paiement ne suffit pas à vous faire supporter la perte : la banque doit établir des faits précis de fraude ou de négligence grave de votre part, et c’est l’échec de cette preuve qui fonde la condamnation au remboursement.
Le tribunal judiciaire de Lyon vient d’illustrer ce raisonnement dans une affaire d’usurpation d’identité bancaire par téléphone : une cliente contactée par un faux conseiller, dont le numéro officiel s’affichait sur son téléphone, avait manipulé son dispositif de sécurité à sa demande et perdu 6 661 euros. Le tribunal a jugé qu’aucune négligence grave ne pouvait être reprochée à la titulaire du compte : contactée par téléphone par un individu se présentant comme un préposé de sa banque, dont le numéro officiel s’affichait sur son écran, elle avait manipulé son dispositif de sécurité à sa demande dans le but d’éviter des opérations malveillantes (le tribunal vise l’arrêt de la chambre commerciale du 23 octobre 2024, n° 23-16.267). La banque a été condamnée à rembourser à la cliente la somme de 6 661 euros au titre du paiement non autorisé (tribunal judiciaire de Lyon, 30 juin 2026, n° 25/04819). Le tribunal rappelle le critère décisif : le degré de vigilance exigé du payeur s’apprécie à l’aune du comportement d’un utilisateur normalement attentif.
Face à un refus persistant, procédez par étapes. Adressez d’abord une réclamation écrite au service réclamations de la banque, en rappelant les articles L133-18 et L133-19 et en joignant plainte, opposition et relevés. Saisissez ensuite le médiateur bancaire, dont les coordonnées figurent sur vos relevés et conventions de compte. En parallèle, signalez l’arnaque pour protéger les autres automobilistes et nourrir les enquêtes en cours. Si la médiation échoue, portez le litige devant le tribunal judiciaire avec l’aide d’un avocat : la jurisprudence rappelée ci-dessus montre que les juges n’hésitent pas à condamner l’établissement qui refuse de rembourser un paiement manifestement détourné à l’insu du client.
Conclusion
Un faux QR code collé sur un horodateur ou un faux lecteur sans contact fixé sur la zone de paiement, c’est une escroquerie au sens plein de l’article 313-1 du code pénal, passible de cinq ans d’emprisonnement et de 375 000 euros d’amende, voire davantage en cas de bande organisée ou de victimes vulnérables. Pour la victime, deux réflexes commandent tout le reste : déposer plainte sans attendre, dans n’importe quel commissariat ou brigade, ou par voie électronique, en conservant le récépissé ; puis faire opposition et contester par écrit chaque opération non autorisée, dans la limite de treize mois à compter du débit. La banque doit alors rembourser au plus tard à la fin du premier jour ouvrable, et c’est à elle de prouver votre négligence grave, à l’aune du comportement d’un utilisateur normalement attentif. Photographies du dispositif, captures de la page pirate, relevés bancaires et récépissé de plainte forment le dossier qui fera céder un refus abusif, devant le médiateur puis, si nécessaire, devant le tribunal.
Besoin d’un avis rapide sur votre dossier
Consultation téléphonique sous 48 heures avec un avocat du cabinet : 80 EUR TTC. Intervention à Paris et en Île-de-France.
Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.