I. Vous avez scanné un QR code frauduleux : ce que l’escroc a pris et les gestes qui protègent vos données et votre argent

Le QR code s’est installé partout : parcmètre, borne de recharge, table de restaurant, avis de contravention glissé sous l’essuie-glace, avis de passage dans la boîte aux lettres, facture reçue par courrier électronique. Cette banalisation a ouvert une voie royale aux escrocs, qui collent un faux code par-dessus le vrai ou diffusent le leur par message. Une fois scanné, le code renvoie vers un site qui imite un service officiel et réclame des informations personnelles ou bancaires, ou déclenche le téléchargement d’un programme malveillant. L’administration décrit ce mécanisme sans détour : le faux code conduit vers un site frauduleux, la victime renseigne des informations personnelles ou financières, puis l’escroc récupère les données ou l’argent transmis (fiche de l’administration sur l’arnaque au QR code). Si vous venez de scanner un tel code, de saisir des identifiants ou de payer, chaque heure compte : il faut comprendre ce qui a été capté, couper les accès, conserver les preuves, puis exiger le remboursement et faire punir les auteurs. Cet article explique la marche à suivre, les textes qui vous protègent et les décisions que les juges rendent dans ces dossiers.

Le premier réflexe consiste à figer la situation. Si la page ouverte après le scan vous semble suspecte ou ne correspond pas au service attendu, n’ouvrez pas le lien et ne poursuivez aucune saisie. Si un paiement vient de partir ou si des codes ont été transmis, appelez immédiatement le numéro d’opposition de votre banque, puis changez depuis un appareil sain les mots de passe des comptes dont les identifiants ont été saisis, en commençant par la messagerie qui permet de réinitialiser tous les autres. Faites des captures d’écran du message reçu, du code scanné, de l’adresse du faux site et des débits constatés, et conservez l’original du document qui portait le code. Ces pièces serviront à la banque, à la plainte et, le cas échéant, au juge. La plateforme publique 17Cyber propose un diagnostic de la situation et oriente vers les démarches adaptées, ce qui évite de perdre les premières heures dans de mauvais guichets.

A. Quelles données l’escroc a-t-il captées et pourquoi le droit les protège

Un faux site de paiement ou de régularisation demande en général un nom, une adresse, un numéro de téléphone, des identifiants bancaires, un numéro de carte avec sa date d’expiration et son cryptogramme, parfois une copie de pièce d’identité ou un code reçu par SMS. Chacune de ces informations permet de vous identifier : le code pénal vise d’ailleurs « une ou plusieurs données de toute nature permettant de l’identifier » (article 226-4-1 du code pénal), et toute information se rapportant à une personne identifiée ou identifiable relève du régime européen de protection des données. Livrer ces éléments à un escroc, ce n’est donc pas seulement perdre de l’argent : c’est livrer la matière première d’une usurpation d’identité durable, avec des comptes ouverts à votre nom, des crédits souscrits ou des démarches effectuées en se faisant passer pour vous. C’est pourquoi la réaction ne se limite jamais au seul compte débité.

La manoeuvre relève pénalement de l’escroquerie. L’article 313-1 du code pénal dispose : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Le texte punit ces faits de cinq ans d’emprisonnement et de 375 000 euros d’amende. Le faux QR code apposé sur un parcmètre, le faux avis de contravention et le faux site de paiement qui imite une administration ou une banque entrent dans les manoeuvres frauduleuses : ils mettent en scène un service officiel pour déterminer la remise. Lorsque les données volées servent ensuite à se faire passer pour vous, l’article 226-4-1 du code pénal ajoute : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Ces qualifications commandent la plainte et fondent la demande de réparation.

Sur le plan pratique, les données transmises imposent une surveillance élargie. Après un quishing suivi d’un paiement, l’escroc dispose souvent du numéro de carte : faites opposition sans attendre et demandez une nouvelle carte avec un nouveau numéro. S’il a obtenu des identifiants d’espace bancaire, signalez-le expressément à la banque pour qu’elle révoque les appareils de confiance et les bénéficiaires ajoutés. Si une copie de pièce d’identité a été téléversée, conservez la preuve de cette transmission : elle servira à contester les engagements qui seraient souscrits en votre nom et à démontrer, en cas d’ouverture frauduleuse de compte ou de crédit, que l’origine se trouve dans cette captation. La fiche de l’administration rappelle que des QR codes frauduleux ont été utilisés sur des parcmètres, des bornes de recharge, de faux avis de contravention, de faux avis de passage, des affiches et jusque dans des messages électroniques. Le raisonnement vaut donc quel que soit le support : ce qui compte, c’est la nature des données livrées et la rapidité de la réaction.

Un point mérite d’être dit nettement : la victime d’un hameçonnage n’a pas à avoir honte, et le droit ne lui demande pas d’être infaillible. Les juges distinguent le simple clic sur un lien frauduleux, qui constitue seulement une imprudence, des validations répétées données ensuite en connaissance apparente de cause. La cour d’appel de Riom l’a écrit dans un dossier d’arnaque au faux conseiller : « Si le fait d’avoir cliqué sur le lien frauduleux constitue seulement une imprudence », avant d’examiner séparément les validations opérées ensuite (cour d’appel de Riom, 26 février 2025, RG 24/00846). Cette gradation est décisive : elle interdit à la banque de vous opposer un refus automatique au seul motif que vous avez scanné le code ou cliqué sur le lien. Chaque comportement ultérieur s’apprécie pour lui-même, et c’est à la banque de prouver ce qu’elle allègue, comme on le verra.

B. Les démarches d’urgence qui préservent vos droits : opposition, signalement et preuves

La loi fait de la rapidité une condition de vos droits. L’article L. 133-17 du code monétaire et financier dispose : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » Concrètement, dès que vous comprenez que le QR code était frauduleux et que des données de carte ou d’accès ont été livrées, appelez le service d’opposition, disponible en permanence, puis confirmez par écrit en conservant l’accusé. Notez l’heure exacte de l’appel et le nom de l’interlocuteur. Ce signalement sans tarder conditionne la suite : il fige le préjudice et prive la banque de l’argument selon lequel vous auriez laissé les débits se poursuivre.

Le deuxième geste consiste à signaler la fraude dans les bons circuits publics. Si vous avez reçu le QR code ou le lien par SMS, transférez le message au 33700, le dispositif de signalement des messages et appels indésirables (le dispositif 33700 de signalement des messages et appels indésirables). Pour l’arnaque elle-même, la marche officielle passe par le dépôt d’une plainte en ligne sur THESEE lorsque de l’argent a été demandé, même si aucun versement n’a finalement eu lieu, ou par un rendez-vous via Police Rendez-vous, ou par un déplacement au commissariat ou à la brigade de gendarmerie de votre choix (la plainte en ligne THESEE, le dispositif Police Rendez-vous). La fiche du ministère de l’intérieur consacrée à ces arnaques le confirme : la plainte en ligne est ouverte dès qu’une demande d’argent a été formulée, sans qu’un versement ou un encaissement soit nécessaire (voir la fiche de l’administration sur l’arnaque au QR code, qui rappelle ces voies de plainte). Déposez plainte vite : le dépôt fige votre version des faits et ouvre la voie à la réparation.

Le troisième geste est probatoire. La banque puis le juge vous demanderont ce qui s’est passé, dans quel ordre et avec quelles validations. Conservez le message d’origine avec ses en-têtes, la photographie du QR code tel qu’il était affiché, l’adresse exacte du faux site, les captures des pages où vous avez saisi des données, les relevés faisant apparaître les débits, les courriers et courriels échangés avec la banque, le récépissé de plainte et le numéro d’opposition. Si un programme a été téléchargé, notez son nom et conservez le fichier sans l’exécuter à nouveau. Si le téléphone se comporte ensuite anormalement, faites-le examiner avant toute réinitialisation complète, car l’analyse peut établir le vecteur de l’intrusion. Les victimes qui documentent perdent moins souvent : dans les trois décisions examinées pour cet article, le sort du remboursement s’est joué sur les relevés télématiques, les adresses IP de connexion et les notifications de validation, c’est-à-dire sur des traces techniques que les parties avaient ou non conservées et produites.

Quatrième geste, souvent oublié : contester par écrit auprès de la banque chaque opération précise, avec sa date, son montant et son libellé, en demandant le remboursement et le rétablissement du compte dans son état antérieur. N’acceptez pas un refus oral : exigez une réponse écrite et motivée. Si la banque oppose votre négligence, demandez-lui sur quels faits précis elle se fonde et quelles pièces elle produit, car la loi lui impose de prouver ses affirmations, comme on le verra. En parallèle, surveillez vos comptes pendant plusieurs semaines, activez les alertes de connexion et de paiement, et interrogez les fichiers d’incidents si des rejets inexpliqués apparaissent. Les démarches d’urgence ne sont donc pas de simples conseils d’hygiène numérique : ce sont des actes juridiques qui conditionnent le remboursement, la plainte et la réparation.

II. Être remboursé et obtenir réparation après un quishing : délais, charge de la preuve et recours effectifs

Une fois l’urgence traitée, deux batailles commencent : récupérer l’argent auprès de la banque et faire sanctionner les auteurs tout en obtenant réparation du préjudice. Les deux obéissent à des règles précises, et la jurisprudence récente des arnaques par hameçonnage et faux conseiller éclaire chaque étape. Le point commun de ces décisions est simple : la banque ne peut ni rembourser à sa discrétion ni refuser à sa discrétion. Elle doit appliquer des textes d’ordre public, et le juge contrôle.

A. Le remboursement bancaire : treize mois pour agir, remboursement au plus tard le jour ouvrable suivant et négligence grave strictement appréciée

Le délai pour agir est de treize mois. L’article L. 133-24 du code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion ». Passé ce délai, la contestation est forclose, sauf si la banque ne vous a pas fourni les informations relatives à l’opération. Signalez donc vite, et surtout par écrit, chaque débit contesté. Une fois l’opération signalée, le principe est le remboursement immédiat. L’article L. 133-18 du même code dispose : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », avec rétablissement du compte dans l’état où il se serait trouvé sans l’opération. La banque ne peut écarter ce remboursement que si elle soupçonne une fraude de votre part et en informe par écrit la Banque de France. Le retard se paie : « Les sommes dues produisent intérêt au taux légal majoré de cinq points », puis de dix points au-delà de sept jours de retard et de quinze points au-delà de trente jours.

La banque refuse le plus souvent en invoquant votre négligence grave, et c’est là que tout se joue. L’article L. 133-19 du code monétaire et financier dispose en son paragraphe IV : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Ces obligations sont connues : l’article L. 133-16 impose à l’utilisateur de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées », et l’article L. 133-17 impose l’information sans tarder aux fins de blocage. Mais la négligence grave ne se présume pas : la banque doit prouver des faits précis, et le juge les apprécie de façon circonstanciée et objective. Le tribunal judiciaire de Paris l’a rappelé dans un dossier où la cliente avait cliqué sur un lien frauduleux reçu par un SMS se présentant comme un message d’un transporteur de colis, avant d’être enrôlée dans une arnaque au faux service des fraudes : « La victime de phishing ne peut se voir reprocher une négligence grave au sens de l’article L.133-19 IV du code monétaire et financier en l’absence d’autres éléments caractérisant une imprudence ou un manquement intentionnel à ses obligations de sécurité. » (tribunal judiciaire de Paris, 10 septembre 2026, RG 25/10000).

Dans ce dossier parisien, la cliente avait toutefois ajouté deux bénéficiaires inconnus dénommés « coffre sécurité », validé trois virements de 5 000 euros par clé digitale sur instruction de son interlocuteur, puis modifié son mot de passe d’accès à la banque en ligne à la demande de ce tiers avant de le lui communiquer. Le tribunal a jugé que ces actes caractérisaient une négligence compromettant la sécurité des données de sécurité personnalisées et revêtant un caractère grave, et a débouté la cliente de sa demande de 15 000 euros. La leçon est brutale mais claire : cliquer ou scanner ne fait pas perdre le remboursement à soi seul, mais valider des bénéficiaires inconnus, authentifier des opérations dictées par un tiers et lui remettre ses codes font basculer le dossier. Ne validez jamais l’ajout d’un bénéficiaire que vous n’avez pas créé vous-même, ne saisissez jamais un code reçu par SMS à la demande d’un appelant, et raccrochez pour rappeler vous-même votre banque au numéro figurant sur votre carte ou vos relevés.

Symétriquement, la banque ne peut pas se retrancher derrière votre imprudence lorsqu’elle a elle-même manqué à son obligation d’authentification forte. Le même article L. 133-19 dispose en son paragraphe V : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur prévue à l’article L. 133-44 . » (paragraphe V de l’article L. 133-19 du code monétaire et financier). La Cour de cassation vient de donner à ce texte toute sa portée dans un dossier d’hameçonnage par courriel imitant la banque : le client avait communiqué des données confidentielles pour activer un système d’authentification, un virement était parti vers un compte inconnu, et la banque refusait de rembourser en invoquant sa négligence grave. La Cour énonce : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur » (Cass. com., 22 octobre 2025, n° 24-19.749, rejet). Faute pour la banque de justifier qu’elle avait exigé l’activation de l’authentification forte, la négligence grave du client, pourtant retenue, ne l’exonérait pas : remboursement confirmé, avec 3 000 euros au titre de l’article 700 du code de procédure civile. L’exigence d’authentification forte s’apprécie opération par opération, au moment du paiement litigieux, et non comme une simple incitation générale adressée au client.

Enfin, la banque supporte la charge de la preuve, y compris sur le terrain technique. L’article L. 133-23 du code monétaire et financier dispose : « il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre. » La simple production du relevé télématique ne suffit pas nécessairement à établir que vous avez autorisé l’opération ou que vous avez été gravement négligent. La cour d’appel de Riom en a fait application dans un dossier où le client avait validé seize opérations à la demande d’un faux conseiller : les juges ont relevé un relèvement de plafond opéré depuis une adresse IP inconnue, des transferts internes inexpliqués et des déclenchements d’authentification forte sans identifiant reconnu, pour conclure « qu’en présence d’une déficience technique en application des dispositions de l’article L.133-23 du code monétaire et financier, la banque devra rembourser les sommes, objets des virements et paiements litigieux » (cour d’appel de Riom, 26 février 2025, RG 24/00846). Résultat : infirmation du jugement, condamnation de la banque à 21 231,99 euros avec intérêts et pénalités de l’article L. 133-18, plus 2 500 euros au titre de l’article 700. Si la banque vous oppose vos validations, exigez donc le détail technique : adresses IP, horodatage, appareils, notifications envoyées. Toute anomalie inexpliquée joue en votre faveur.

Ces règles s’articulent avec le dossier voisin de l’arnaque au faux conseiller bancaire par usurpation de numéro, dont les ressorts juridiques sont les mêmes : authentification, négligence et preuve technique. Notre analyse détaillée du faux conseiller bancaire par spoofing, du remboursement des virements et de la plainte complète utilement ce qui suit sur la plainte et la réparation. Retenez le calendrier : opposition immédiate, contestation écrite et détaillée sans tarder et au plus tard dans les treize mois du débit, refus écrit exigé de la banque, puis saisine du médiateur bancaire et, en cas d’échec, du tribunal judiciaire, seul compétent pour trancher la négligence grave et la déficience technique.

B. Plainte, sanction des auteurs et réparation intégrale du préjudice

La plainte pénale poursuit deux objectifs : faire sanctionner l’escroc et ouvrir vos droits à réparation. Déposez-la pour escroquerie, en visant l’article 313-1 du code pénal, et pour usurpation d’identité sur le fondement de l’article 226-4-1 du même code dès que vos données ont servi à se faire passer pour vous. Joignez l’inventaire des pièces : message d’origine, photographie du QR code, adresse du faux site, captures des saisies, relevés des débits, échanges avec la banque, numéro d’opposition. Si les auteurs, souvent installés à l’étranger ou sous fausse identité, ne sont pas identifiés, la plainte n’est pas inutile : elle constate officiellement la fraude, ce constat pèse dans le litige contre la banque, et l’enquête peut aboutir par recoupement avec d’autres plaintes. Constituez-vous partie civile pour demander au juge pénal la réparation de votre préjudice, ou portez la demande devant le juge civil.

La réparation civile obéit au principe de réparation intégrale. L’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Contre l’escroc identifié et solvable, vous pouvez réclamer les sommes détournées non remboursées par la banque, les frais exposés (opposition, nouvelle carte, déplacements, constats), la perte de revenus liée au temps consacré au dossier et le préjudice moral : anxiété durable, méfiance envers les paiements en ligne, démarches humiliantes pour prouver que les engagements souscrits en votre nom ne sont pas les vôtres. Chiffrez chaque poste avec des justificatifs : relevés, factures, attestations, agenda des démarches. Les décisions citées montrent que les juges allouent aussi des indemnités de procédure : 3 000 euros dans l’arrêt de la Cour de cassation du 22 octobre 2025, 2 500 euros devant la cour d’appel de Riom, sur le fondement de l’article 700 du code de procédure civile. À l’inverse, l’action mal documentée coûte : la cliente déboutée par le tribunal de Paris a supporté les dépens. Ne saisissez le juge qu’avec un dossier complet.

Lorsque l’escroc reste introuvable, le litige se concentre sur la banque, selon la grammaire exposée plus haut : contestation dans les treize mois, remboursement au plus tard à la fin du premier jour ouvrable suivant, pénalités de retard, débat sur la négligence grave et sur l’authentification forte, preuve technique à la charge du prestataire. Saisissez d’abord le médiateur bancaire, gratuitement et par écrit, en joignant la contestation, le refus de la banque, le récépissé de plainte et les pièces techniques. En cas d’échec de la médiation, l’assignation devant le tribunal judiciaire doit reprendre méthodiquement chaque opération, chaque validation et chaque anomalie, en s’appuyant sur les trois décisions analysées ici : l’arrêt de la Cour de cassation pour l’authentification forte exigée opération par opération, le jugement parisien pour les bornes de la négligence grave, l’arrêt de Riom pour la déficience technique. Demandez le remboursement, les intérêts et pénalités de l’article L. 133-18, le préjudice moral et l’indemnité de l’article 700.

Un dernier volet concerne vos données elles-mêmes. Après un quishing, vos informations circulent : surveillez vos relevés, vos espaces clients et votre courrier, refusez tout appel vous demandant de « sécuriser » vos comptes en communiquant des codes, et opposez-vous à toute prospection issue de cette collecte. Si un organisme identifié exploite indûment les données volées ou refuse de les effacer, une réclamation devant la Commission nationale de l’informatique et des libertés devient envisageable, car il existe alors un responsable de traitement identifié contre lequel diriger la demande. Mais contre l’escroc anonyme, le bon circuit reste la plainte pénale et le litige bancaire, pas la réclamation contre X. La plateforme Cybermalveillance.gouv.fr, qui décrit le quishing comme un hameçonnage par QR code en progression, et la fiche de l’administration sur les vérifications avant scan et les démarches après escroquerie résument utilement les réflexes : vérifier que le code n’a pas été collé par-dessus un autre, contrôler l’adresse affichée après le scan, et au moindre doute ne pas ouvrir le lien.

En conclusion, le QR code frauduleux scanné n’est pas une fatalité juridique. Vos données personnelles sont protégées par le règlement européen et par le code pénal, votre argent l’est par le code monétaire et financier, et les juges appliquent ces textes avec pragmatisme : le simple clic ne vous fait pas perdre vos droits, la banque doit prouver la négligence grave qu’elle allègue et l’authentification forte qu’elle prétend avoir exigée, et toute déficience technique inexpliquée lui incombe. Opposition immédiate, contestation écrite détaillée dans les treize mois, plainte avec pièces, médiation puis tribunal en cas de refus : suivez cet ordre, conservez chaque preuve, et chiffrez chaque préjudice. C’est ce dossier carré, et lui seul, qui transforme une arnaque bien rodée en remboursement et en réparation.