Le développement accéléré des paiements dématérialisés dans l’espace public a transformé en profondeur les usages quotidiens des consommateurs et des automobilistes. Qu’il s’agisse de régler quelques minutes de stationnement sur un horodateur urbain, d’activer une session sur une borne de recharge pour véhicule électrique, d’accéder au menu d’un restaurant ou de régulariser un avis de passage, le recours au code QR s’est imposé comme un standard de commodité technique. Cette omniprésence fait désormais l’objet d’un détournement criminel de grande ampleur désigné sous le terme de quishing, contraction technique des expressions code QR et hameçonnage. Le ministère de l’Économie et des Finances a précisément alerté les usagers dans sa mise en garde publiée le premier octobre 2026 sur le site officiel economie.gouv.fr, soulignant la recrudescence d’autocollants frauduleux apposés sur des parcmètres municipaux, des bornes de recharge et de faux avis de contravention.

Le mode opératoire de cette escroquerie se distingue par son hybridation redoutable entre une altération matérielle visible dans l’espace public et une infrastructure numérique illicite. Les malfaiteurs impriment des étiquettes adhésives comportant un code bidimensionnel frauduleux qu’ils viennent superposer avec une minutie extrême sur le code QR d’origine d’un horodateur ou d’une infrastructure de recharge. L’automobiliste de bonne foi, croyant acquitter une prestation modique de quelques euros, scanne ce support physique altéré avec son téléphone intelligent. Il se trouve immédiatement redirigé vers une interface en ligne factice reproduisant fidèlement la charte graphique, les logos et la cinématique du gestionnaire de voirie ou de l’opérateur de réseau. Une fois les coordonnées bancaires saisies, les fraudeurs ne se contentent pas de détourner le paiement initial : ils captent les données confidentielles de la carte ou enrôlent subrepticement l’instrument de paiement sur un terminal distant afin d’exécuter des débits massifs ou des virements non autorisés.

Face à ce préjudice souvent considérable, les victimes se heurtent fréquemment au refus catégorique de leur établissement bancaire de procéder au remboursement des sommes dérobées. Les prestataires de services de paiement opposent en effet quasi systématiquement l’argument de la négligence grave du payeur, alléguant que la communication des données de la carte sur un site tiers ou la validation d’une notification d’authentification forte priverait l’usager de toute protection légale. Une telle posture méconnaît tant l’état du droit positif que la jurisprudence rigoureuse établie par la Cour de cassation en matière d’instruments de paiement non autorisés. L’usager confronté à une altération matérielle sur un équipement officiel ne saurait se voir imputer une faute lourde dès lors que l’apparence de légitimité a été forgée par des manœuvres trompeuses sophistiquées.

L’analyse du contentieux suscité par le quishing impose d’articuler minutieusement plusieurs branches du droit, du droit pénal spécial au droit bancaire régissant la monnaie scripturale, sans omettre la responsabilité civile délictuelle et contractuelle des exploitants d’installations publiques. Pour comprendre les enjeux de cette fraude contemporaine et mesurer l’étendue des recours ouverts aux particuliers, il convient d’examiner dans un premier temps la qualification juridique de l’arnaque au code QR et les conditions strictes dans lesquelles la faute du consommateur est écartée, avant d’aborder dans un second temps la mise en jeu des responsabilités bancaires et civiles ainsi que la conduite méthodique des actions en recouvrement des fonds spoliés.

I. La qualification juridique de l’arnaque au QR code et l’absence de négligence grave du consommateur

A. Les éléments constitutifs de l’escroquerie par quishing et le piège du faux support physique

Sur le plan pénal, le quishing relève au premier chef de la qualification d’escroquerie telle que définie à l’article 313-1 du Code pénal. Cette disposition réprime le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manœuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. Dans le mécanisme de l’arnaque au code QR physique, la manœuvre frauduleuse ne se réduit pas à une simple allégation mensongère dématérialisée : elle s’incarne dans une machination matérielle externe, caractérisée par l’impression et le collage d’un support physique sur un mobilier urbain ou un équipement technique légitime, venant corroborer l’illusion d’une relation contractuelle authentique.

Cette matérialité confère à l’escroquerie une force persuasive exceptionnelle qui piège l’utilisateur le plus vigilant. Contrairement aux courriels d’hameçonnage traditionnels souvent truffés d’approximations syntaxiques ou émis depuis des noms de domaine farfelus, le quishing sur horodateur ou borne de recharge s’appuie sur la confiance accordée à l’infrastructure physique environnante. L’usager se trouve devant une machine officielle, implantée sur le domaine public ou dans une station-service duly identifiée, sur laquelle figurent les armoiries d’une métropole ou les insignes d’un énergéticien reconnu. Comme le souligne une enquête spécialisée diffusée par le magazine automobile Roole Média, les fraudeurs déploient des autocollants parfaitement calibrés aux dimensions des encadrés officiels, rendant la superposition imperceptible à l’œil nu lors d’un paiement hâtif sous les intempéries ou en fin de journée.

La dimension numérique de l’infraction mobilise en outre les dispositions réprimant les atteintes aux systèmes de traitement automatisé de données prévues aux articles 323-1 et suivants du Code pénal. L’article 323-1 du Code pénal sanctionne l’accès ou le maintien frauduleux dans tout ou partie d’un système de traitement automatisé de données, peines aggravées lorsque l’infraction entraîne la suppression ou la modification de données contenues dans le système ou l’altération de son fonctionnement. Lorsque les escrocs exploitent la page miroir pour capturer les jetons d’accès ou les identifiants bancaires et pénétrer les serveurs du prestataire de services de paiement ou les applications bancaires mobiles des victimes, la matérialité de l’atteinte informatique est pleinement constituée. La plateforme gouvernementale dédiée à l’assistance aux victimes rappelle d’ailleurs sur la page cybermalveillance.gouv.fr consacrée à l’hameçonnage que ces attaques ciblent la captation illicite de données d’authentification pour contourner les protections logicielles.

S’y ajoutent régulièrement des délits connexes tels que l’usurpation d’identité sanctionnée par l’article 226-4-1 du Code pénal, lorsque les auteurs utilisent les données d’état civil d’un tiers pour ouvrir des comptes relais ou contracter des micro-crédits, ainsi que la contrefaçon de marques et de signes distinctifs protégés par le Code de la propriété intellectuelle. Les criminels reproduisent en effet sans droit les marques déposées des exploitants de mobilité, des banques ou des réseaux de paiement internationaux pour donner un vernis d’authenticité à leurs formulaires de collecte. Cette accumulation d’éléments frauduleux caractérise une entreprise délictuelle particulièrement élaborée, dont la finalité exclusive demeure l’appropriation indue des avoirs financiers de consommateurs trompés par une apparence savamment orchestrée.

Pour la victime, cette qualification pénale revêt une portée déterminante dans la perspective des poursuites et de la réparation intégrale de son préjudice. L’existence d’une infraction pénale formellement établie interdit de réduire le litige à une simple négligence domestique ou à un différend contractuel ordinaire entre un titulaire de compte et son banquier. La manœuvre extérieure de contrefaçon matérielle constitue le fait générateur prépondérant du sinistre. C’est précisément cette réalité tangible que les juridictions civiles et commerciales retiennent pour apprécier le comportement de l’utilisateur et écarter les accusations injustifiées de passivité ou d’imprudence formulées par les services de lutte contre la fraude des établissements financiers.

B. Le régime des opérations de paiement non autorisées et le rejet de la faute lourde

Le contentieux civil et bancaire généré par les escroqueries au code QR gravite autour de l’imputation financière des pertes résultant d’opérations de paiement non autorisées. Le régime protecteur issu de la directive européenne sur les services de paiement et transposé au sein du Code monétaire et financier repose sur une obligation fondamentale de sécurité pesant sur le prestataire de services de paiement. L’article L. 133-16 du Code monétaire et financier énonce que dès qu’il reçoit un instrument de paiement, l’utilisateur prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et utilise cet instrument conformément aux conditions régissant son émission et son utilisation. En miroir, l’article L. 133-17 du Code monétaire et financier impose au payeur d’informer sans tarder son prestataire de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées dès qu’il en a connaissance.

Lorsque des débits sont effectués sans le consentement du titulaire du compte, le principe directeur posé par l’article L. 133-19 du Code monétaire et financier dispense en principe le client de toute charge financière. L’alinéa premier du paragraphe IV de ce texte prévoit toutefois une exception redoutable : le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. C’est sur ce terrain de la prétendue négligence grave que les banques concentrent l’intégralité de leur défense, refusant de restituer les sommes détournées au motif que la saisie du numéro de carte, de la date d’expiration, du cryptogramme ou du code reçu par message textuel caractériserait une impardonnable légèreté.

La Chambre commerciale, financière et économique de la Cour de cassation encadre pourtant cette notion avec une rigueur constante et protectrice. Dans son arrêt rendu le 28 mars 2018 sous le pourvoi numéro 16-20.018, la Haute juridiction a affirmé que « si, aux termes des articles L. 133-16 et L. 133-17 du code monétaire et financier, il appartient à l’utilisateur de services de paiement de prendre toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et d’informer sans tarder son prestataire de tels services de toute utilisation non autorisée de l’instrument de paiement ou des données qui lui sont liées, c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cour de cassation, chambre commerciale, 28 mars 2018, décision pourvoi n° 16-20.018).

Ce principe cardinal interdit expressément aux établissements bancaires de renverser la charge de la preuve. Les banques ne peuvent se contenter de produire des extraits de journaux informatiques ou de prouver que les données de la carte ont été correctement renseignées pour en déduire automatiquement la faute de leur client. La Cour de cassation a réitéré cette exigence dans son arrêt du 24 novembre 2021 au visa des textes applicables, rappelant qu’« Il résulte du premier de ces textes que l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses dispositifs de sécurité personnalisés et du second que le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » (Cour de cassation, chambre commerciale, 24 novembre 2021, décision pourvoi n° 20-13.767).

L’appréciation souveraine des juges du fond doit donc impérativement porter sur les circonstances concrètes de l’espèce et sur la crédibilité du piège tendu à la victime. Dans le cadre d’un quishing survenu sur un horodateur ou une borne de recharge, l’existence d’indices d’alerte décelables par un usager normalement attentif fait totalement défaut. Le consommateur ne répond pas à un courriel inattendu sollicitant ses identifiants confidentiels : il exécute un acte usuel de paiement dans un cadre matériel sécurisant. L’autocollant frauduleux étant apposé à l’emplacement exact réservé au règlement dématérialisé, aucun élément extérieur ne permet à un automobiliste pressé de suspecter la substitution. L’illusion est absolue, de sorte que la transmission des données de carte bancaire pour régler une somme minime de stationnement ne saurait constituer le manquement caractérisé requis pour caractériser la négligence grave.

Cette approche protectrice a été consacrée de longue date par la jurisprudence commerciale. Ainsi, dans son arrêt du 18 janvier 2017, la Cour de cassation avait déjà confirmé que « c’est à ce prestataire qu’il incombe, par application des articles L. 133-19, IV, et L. 133-23 du même code, de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations ; que cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés » (Cour de cassation, chambre commerciale, 18 janvier 2017, décision pourvoi n° 15-18.102). De surcroît, par un arrêt de principe du 26 juin 2019, la Chambre commerciale a fermement jugé que « l’utilisation de l’instrument de paiement ou des données personnelles de M. W… ne permettait pas de présumer la négligence grave de ce dernier, sans considération du niveau de sécurité offert par les services de paiement en cause, et en excluant ainsi de mettre à la charge de cet utilisateur la preuve, non moins difficile à rapporter, d’une absence de négligence grave de sa part » (Cour de cassation, chambre commerciale, 26 juin 2019, décision pourvoi n° 18-12.581).

Cette jurisprudence s’applique avec une vigueur redoublée en matière de piratage matériel. La Cour de cassation l’a encore réaffirmé le 9 mars 2022 dans un litige relatif à un détournement informatique sophistiqué, en posant sans équivoque que « c’est au prestataire de services de paiement qu’il incombe de rapporter la preuve que l’utilisateur, qui nie avoir autorisé une opération de paiement, a agi frauduleusement ou n’a pas satisfait intentionnellement ou par négligence grave à ses obligations. Cette preuve ne peut se déduire du seul fait que l’instrument de paiement ou les données personnelles qui lui sont liées ont été effectivement utilisés. » (Cour de cassation, chambre commerciale, 9 mars 2022, décision pourvoi n° 20-12.376). Dès lors que la preuve formelle et irréfutable d’une imprudence grossière n’est pas rapportée par l’organisme teneur de compte, le payeur demeure intégralement fondé à exiger la restitution de ses avoirs.

II. La mise en jeu des responsabilités et les voies de recours de la victime

A. L’obligation légale de remboursement immédiat par l’établissement bancaire

L’obligation première de l’établissement financier en présence d’une contestation d’opération de paiement non autorisée est une obligation de remboursement immédiat, strictement encadrée par la loi. L’article L. 133-18 du Code monétaire et financier dispose qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions légales, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant. La seule réserve admise par le législateur réside dans l’hypothèse où le prestataire disposerait de bonnes raisons de soupçonner une fraude imputable à l’utilisateur lui-même, sous la condition suspensive et impérative de communiquer ces motifs par écrit à la Banque de France.

Le texte ajoute que le prestataire rétablit le compte débité dans l’état où il se serait trouvé si l’opération litigieuse n’avait pas eu lieu, avec une date de valeur qui ne peut être postérieure à la date à laquelle le compte avait été initialement débité. Cette exigence neutralise immédiatement les agios, frais d’incident de paiement, commissions d’intervention ou intérêts débiteurs générés par le trou de trésorerie artificiel créé par les escrocs. En pratique, nombre d’établissements de crédit refusent d’exécuter ce rétablissement provisoire, renvoyant la victime vers des services contentieux ou exigeant la conclusion préalable d’enquêtes de police pourtant étrangères aux obligations de la banque.

Pour sanctionner ces manœuvres dilatoires couramment constatées sur le terrain, le législateur a instauré un mécanisme de pénalités financières particulièrement dissuasif au sein de l’article L. 133-18 du Code monétaire et financier. En cas de manquement du prestataire de services de paiement à son obligation de remboursement immédiat, les sommes dues produisent intérêt de plein droit au taux légal majoré de cinq points. Si le retard excède sept jours, la majoration est portée à dix points au-delà du taux légal. Lorsque la défaillance de la banque se prolonge au-delà de trente jours sans justification légale transmise à la Banque de France, les sommes dues portent intérêt au taux de l’intérêt légal majoré de quinze points. Cette échelle de pénalités automatiques constitue un levier de pression considérable dans le cadre des réclamations adressées par les usagers spoliés.

L’exercice de ce droit à restitution est soumis au respect des délais de forclusion de l’article L. 133-24 du Code monétaire et financier. Cet article impartit à l’utilisateur un délai maximal de treize mois suivant la date de débit pour signaler l’opération non autorisée à son prestataire, sous peine de forclusion. Ce délai est ramené à soixante-dix jours si le titulaire du compte a expressément renoncé par contrat au délai légal dans le cadre d’un compte professionnel, ce qui ne concerne aucunement les consommateurs personnes physiques. Dès la découverte des prélèvements indus consécutifs au scan du faux code QR, la victime doit donc formaliser sans délai sa contestation par écrit daté, de préférence par lettre recommandée avec accusé de réception ou via la messagerie sécurisée de son espace client authentifié.

L’administration de la preuve fait par ailleurs l’objet de règles probatoires rigoureuses codifiées à l’article L. 133-23 du Code monétaire et financier. Ce texte dispose que lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. Le second alinéa de cet article précise de manière expresse que l’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant.

Dans les affaires de quishing, la défaillance des mécanismes de sécurité internes de la banque apparaît souvent flagrante. Alors que la transaction initiée par le consommateur portait sur un montant modeste de stationnement de deux à cinq euros, les débits exécutés par les malfaiteurs atteignent fréquemment plusieurs centaines ou milliers d’euros sous forme d’achats électroniques luxueux, d’enrôlements de cartes virtuelles sur des téléphones étrangers ou de virements instantanés vers des banques en ligne. En autorisant sans blocage préventif ni contrôle de cohérence des opérations totalement atypiques par rapport au profil habituel de dépenses du titulaire, la banque méconnaît son devoir général de vigilance et de surveillance des flux financiers anormaux, ce qui affaiblit d’autant sa tentative de rejeter la faute sur le client.

B. La responsabilité civile des exploitants d’équipements publics et les démarches judiciaires

Au-delà de la relation bancaire, l’originalité du quishing réside dans l’implication directe d’équipements matériels appartenant à des tiers institutionnels ou commerciaux. Lorsqu’un automobiliste scanne un faux code QR superposé sur un horodateur public ou sur une station de charge électrique, le préjudice résulte directement du défaut de surveillance et de sécurisation du support matériel mis à la disposition des usagers. Cette situation soulève la question de la responsabilité civile des municipalités, des délégataires de service public de stationnement et des opérateurs de bornes de recharge pour véhicules électriques.

Sur le fondement délictuel, la responsabilité du fait des choses prévue à l’article 1242 du Code civil trouve vocation à s’appliquer. En vertu du premier alinéa de cet article, on est responsable non seulement du dommage que l’on cause par son propre fait, mais encore de celui qui est causé par le fait des personnes dont on doit répondre, ou des choses que l’on a sous sa garde. Le gestionnaire d’un parcmètre ou d’une borne de recharge dispose de l’usage, de la direction et du contrôle de l’appareil. Dès lors qu’un corps étranger frauduleux est apposé sur la machine et altère son fonctionnement normal en détournant les usagers vers une escroquerie, la chose instrument du dommage se trouve affectée d’un comportement anormal. Le gardien de l’équipement ne peut s’exonérer qu’en démontrant la survenance d’un cas de force majeure, présentant les caractères d’imprévisibilité et d’irrésistibilité, ce qui est exclu au regard de la notoriété publique désormais acquise par le phénomène du quishing dans les zones urbaines.

Sur le plan contractuel, lorsque l’usager interagit avec une borne dans le cadre d’un abonnement ou d’un réseau commercial privé, l’article 1231-1 du Code civil engage la responsabilité du débiteur en cas d’inexécution ou de retard dans l’exécution de ses obligations. Tout professionnel qui propose un service de paiement automatisé dans l’espace public est tenu à une obligation de sécurité et de vigilance renforcée. Cette obligation implique des rondes de vérification physique régulières, le retrait immédiat des étiquettes suspectes signalées par les usagers, l’installation de dispositifs de sécurité inviolables comme des codes QR dynamiques affichés sur écran numérique plutôt que des impressions statiques, ainsi que l’apposition d’avertissements clairs sur les automates. L’inertie fautive d’un exploitant qui laisserait prospérer des étiquettes frauduleuses sur ses installations pendant plusieurs semaines engage directement sa responsabilité civile pour le préjudice causé aux usagers.

Face à la pluralité des acteurs potentiellement responsables, la victime de quishing doit structurer méthodiquement sa démarche contentieuse. La première mesure d’urgence consiste à faire opposition sans délai sur la carte bancaire auprès du centre d’opposition interbancaire ou de son application mobile afin de bloquer toute nouvelle transaction illicite. Il est primordial de conserver l’ensemble des éléments de preuve matérielle : photographier l’horodateur ou la borne avec le faux autocollant, réaliser des captures d’écran de l’historique de navigation internet sur le téléphone montrant l’adresse exacte du site miroir, et archiver les relevés de compte attestant des débits contestés.

La victime doit ensuite formaliser une plainte pénale. Cette démarche peut être effectuée en ligne via le téléservice officiel Thésée piloté par le ministère de l’Intérieur pour les escroqueries numériques, ou directement auprès du commissariat de police, de la brigade de gendarmerie ou du procureur de la République près le tribunal judiciaire territorialement compétent. Le récépissé de dépôt de plainte constitue une pièce maîtresse à joindre à la mise en demeure adressée à l’établissement bancaire au visa des articles L. 133-18 et L. 133-24 du Code monétaire et financier.

En cas de refus persistant de remboursement de la part de la banque après épuisement de la phase de réclamation interne, le justiciable peut saisir le médiateur bancaire compétent ou engager une action contentieuse devant le tribunal judiciaire. Les équipes du cabinet Kohen Avocats assistent quotidiennement les justiciables dans le cadre du contentieux commercial et bancaire pour faire respecter le droit impératif au remboursement des opérations non autorisées. La diversité des domaines d’intervention du cabinet permet de combiner l’action en responsabilité bancaire et l’éventuelle mise en cause des exploitants d’équipements urbains, offrant une stratégie complète et adaptée à la défense des consommateurs spoliés dans le contentieux des opérations bancaires frauduleuses.

Conclusion

L’essor fulgurant du quishing sur les équipements publics du quotidien révèle la vulnérabilité intrinsèque des dispositifs de paiement dématérialisés face à l’ingéniosité des réseaux cybercriminels. En exploitant la confiance légitime que les citoyens accordent au mobilier urbain et aux infrastructures de recharge, les fraudeurs parviennent à contourner les barrières technologiques de l’authentification forte en transformant l’usager lui-même en vecteur involontaire de la captation de ses données. Cette sophistication matérielle et numérique marque une rupture nette avec les escroqueries informatiques traditionnelles et interdit toute assimilation hâtive à une négligence du consommateur.

Le cadre législatif et jurisprudentiel français confère aux victimes une protection robuste, dont l’efficacité repose toutefois sur une réactivité procédurale rigoureuse. Face aux tentatives récurrentes des établissements de crédit d’échapper à leur obligation légale de restitution immédiate, les principes fermement rappelés par la Cour de cassation rétablissent l’équilibre probatoire : la charge de démontrer une faute lourde incombe exclusivement au banquier, et la simple utilisation des instruments de paiement ne permet en aucun cas de présumer la négligence du payeur. L’affirmation des droits du consommateur constitue le rempart indispensable pour garantir la sécurité juridique des échanges économiques et contraindre l’ensemble des acteurs, banques et opérateurs de voirie, à élever leurs standards de vigilance et de protection.