Protéger les QR codes imprimés des arnaques à l'autocollant : ce qu'ont fait les villes

Pour protéger des QR codes imprimés contre les arnaques à l'autocollant, reprenez ce qu'ont fait les villes quand de faux codes sont apparus sur des horodateurs : dire publiquement quels moyens de paiement sont les vrais, inspecter chaque appareil, retirer vite les faux, prévenir les usagers du service et leur donner un moyen de signaler. Aucune des sources examinées ici n'a testé d'étiquettes d'inviolabilité, de cadres ou de caches : aucun ne peut donc être dit éprouvé.

Les cas ci-dessous concernent des équipements publics de stationnement, pas des imprimés d'entreprise. Le mécanisme est le même (le code d'un fraudeur collé sur un vrai), mais l'appliquer à vos propres panneaux relève de notre lecture. Pour le côté consommateur, voir Comment repérer un faux QR code.

Faits vérifiés le 17 octobre 2026.

Trois cas : New York, Mississauga et une alerte de la FTC

Cinq choses qu'ont faites les autorités

1. Elles ont dit quel moyen de paiement est le vrai. Le NYC DOT a désigné l'application officielle ParkNYC et les horodateurs physiques comme seul moyen de payer le stationnement payant. Mississauga a écrit : « Les QR codes n'ont jamais été un moyen de paiement légitime sur les horodateurs municipaux. » Which? a rapporté en juin 2025 que le conseil municipal de Southend-on-Sea n'utilise pas non plus de QR codes sur ses horodateurs. Pour une entreprise, l'équivalent est une ligne sur votre site et vos reçus qui dit ce que vos codes font et ne font pas.
2. Elles ont tout inspecté et retiré vite les faux. New York a lancé une inspection dans toute la ville ; Mississauga a envoyé des équipes vérifier chaque appareil. Cyber Security NSW conseille aux organisations de « vérifier régulièrement les QR codes déployés pour détecter tout signe de manipulation ou d'abus » (fiche non datée ; les métadonnées du PDF et son adresse web renvoient à octobre-décembre 2024). Vous avez trouvé un autocollant suspect ? Le lecteur de QR code gratuit décode une photo dans votre navigateur et affiche l'adresse sans l'ouvrir.
3. Elles ont prévenu les usagers là où ils se trouvent déjà. New York a annoncé que les usagers de ParkNYC recevraient une notification dans l'application. Mississauga a listé des signes d'alerte, dont un autocollant posé sur l'appareil ou à côté plutôt qu'intégré, et un site de paiement à l'adresse légèrement différente.
4. Elles ont donné un moyen de signaler. New York a indiqué un numéro de téléphone et une adresse e-mail de ParkNYC, Mississauga a demandé aux habitants d'appeler le 311, et la FTC renvoie les personnes ayant scanné un mauvais code vers ReportFraud.ftc.gov. Un FBI FLASH de janvier 2026, consacré au quishing par e-mail plutôt qu'aux autocollants, conseille lui aussi aux organisations de mettre en place des « protocoles clairs pour signaler les QR codes suspects ».
5. Elles ont prévenu la police. Le NYC DOT indique avoir prévenu les forces de l'ordre.

Ce que disent les chiffres

Les chiffres sont rares, et ils ne comptent pas la même chose.

Les deux périodes d'Action Fraud diffèrent, et aucune des deux pages n'émane d'Action Fraud elle-même. N'additionnez pas les lignes : elles comptent des signalements, des volumes d'attaques, des codes uniques et des détections de robots. Aucune ne distingue les autocollants sur des panneaux physiques.

Les tableaux officiels et ceux des éditeurs divergent. Le National Cyber Security Centre britannique a écrit dans un billet de février 2024 que la fraude par QR code au Royaume-Uni « est relativement faible par rapport à d'autres types de cyberfraude » et qu'elle a surtout lieu dans des espaces ouverts comme les gares et les parkings. Les chiffres des éditeurs couvrent des trimestres différents : le décompte de Mimecast a baissé au T4 2025, tandis que Microsoft rapporte une hausse dans les e-mails au T1 2026. Aucune source ici ne mesure la fréquence à laquelle des codes imprimés sont recouverts.

Comment protéger les QR codes imprimés contre la manipulation : ce qui est prouvé et ce qui ne l'est pas

Aucune des sources examinées ici ne teste d'autocollants d'inviolabilité, de bordures, de caches transparents ou toute autre protection physique, et aucune page officielle examinée n'en recommande. Les étapes 1 à 5 sont ce que les sources appuient ; le reste est une limite ou une idée non éprouvée.

Un code dynamique n'arrête pas un autocollant. Un faux autocollant porte sa propre adresse : rien de ce que vous modifiez dans un compte ne change ce qu'il encode. Un code dynamique couvre l'autre moitié du problème. Avec un code d'URL dynamique dans QR Maker AI, le motif imprimé encode un lien court, et vous pouvez changer la destination derrière lui dès le scan suivant, sans réimprimer, si votre page d'arrivée est compromise ou déménage. Le rapport de l'APWG note que les fraudeurs utilisent eux aussi les fonctions de modification de destination et de suivi des scans des générateurs : aucune des deux n'est donc une protection en soi. Vous pouvez créer un code dynamique pour voir comment fonctionne la modification.

Idée 1, non éprouvée : surveiller le nombre de scans. Le chef de produit confiance et sécurité de Bitly suggère qu'un code physique dont les scans tombent soudain à zéro « a peut-être été manipulé ou recouvert par un code frauduleux ». C'est une suggestion d'éditeur, avec un exemple hypothétique et sans données, et elle donnera de fausses alertes : une saison se termine, une campagne s'arrête, un panneau est déplacé. Voyez une chute comme une raison d'aller regarder sur place. Avec notre offre gratuite, le comptage est suspendu dès qu'un compte dépasse 500 scans suivis dans le mois, alors que les codes continuent de rediriger : une courbe plate en fin de mois peut donc être le plafond, pas un autocollant. Voir Comment suivre les scans d'un QR code.

Idée 2, non éprouvée : utiliser un domaine que les gens reconnaissent. Unit 42, un éditeur de sécurité, a écrit en avril 2025 que « les gens ne peuvent voir que le nom de domaine via l'application appareil photo de leur appareil », sans indiquer de méthode. Si c'est le cas, un code qui ouvre un domaine vous appartenant, comme go.example.com, donne aux personnes qui scannent un repère familier. C'est notre déduction, et aucune source examinée ici ne l'a testée. L'offre Business inclut un domaine personnalisé pour les liens courts, sur un sous-domaine qui vous appartient (tarifs).

Idée 3, non éprouvée : imprimer le code dans le panneau. Mississauga considère comme un signe d'alerte un autocollant posé sur un appareil ou à côté plutôt qu'intégré, et la fiche de NSW indique qu'un code superposé peut parfois se voir ou se sentir au toucher. Si votre vrai code est imprimé sur le panneau lui-même, tout ce qui est collé dessus devrait davantage se remarquer. Aucune source n'a vérifié si cela dissuade qui que ce soit.

FAQ

Un QR code dynamique peut-il empêcher quelqu'un de coller un autocollant dessus ?

Non. Un autocollant encode sa propre adresse : un code dynamique vous permet seulement de changer la destination de votre propre code.

Existe-t-il un autocollant de QR code inviolable ?

Aucune des pages officielles examinées ici n'évalue d'autocollants d'inviolabilité, de cadres ou de caches : cet article ne peut donc en recommander aucun. Les villes ont misé sur l'inspection, le retrait rapide et les avertissements publics.

Que faire si je trouve un faux autocollant sur mon code ?

Les villes ont retiré les autocollants et prévenu les usagers, et New York a prévenu les forces de l'ordre. Aux États-Unis, la FTC demande aux personnes ayant scanné un mauvais code de le signaler sur ReportFraud.ftc.gov.

Sources

1. NYC DOT — NYC DOT Issues Parking Meter Scam Advisory. Published 6 June 2025. Accessed 17 October 2026.
2. City of Mississauga — City warns about fraudulent QR codes on parking machines. Published 24 April 2026. Accessed 17 October 2026.
3. Federal Trade Commission — See a QR code parked somewhere? Don't scan it…yet!. Published 3 September 2026. Accessed 17 October 2026.
4. Which? — Quishing scams warning: how to spot and avoid dodgy QR codes. Published 25 June 2025. Accessed 17 October 2026.
5. Cyber Security NSW — Quick Response (QR) code Fact Sheet. Undated; PDF metadata and web address point to October to December 2024. Accessed 17 October 2026.
6. Federal Bureau of Investigation — North Korean Kimsuky Actors Leverage Malicious QR Codes in Spearphishing Campaigns Targeting U.S. Entities. Published 8 January 2026. Accessed 17 October 2026.
7. Croft Parish Council — New quishing alert: £3.5 million lost last year to fraudulent QR codes. Published 15 July 2025 (reposts an Action Fraud notice). Accessed 17 October 2026.
8. Federal Bureau of Investigation — 2025 IC3 Annual Report. Undated in the PDF text. Accessed 17 October 2026.
9. Microsoft Threat Intelligence — Email threat landscape: Q1 2026 trends and insights. Published 30 April 2026. Accessed 17 October 2026. (vendor data)
10. APWG — Phishing Activity Trends Report, 4th Quarter 2025. Published 18 February 2026. Accessed 17 October 2026. (vendor data, from member Mimecast)
11. Palo Alto Networks Unit 42 — Phishing on the Edge of the Web and Mobile Using QR Codes. Published 13 February 2026. Accessed 17 October 2026. (vendor data)
12. National Cyber Security Centre (UK) — QR Codes - what's the real risk?. Published 8 February 2024; page metadata shows a March 2025 update. Accessed 17 October 2026.
13. Bitly — How Dynamic QR Codes Help Businesses Fight Fraud (From an Expert). Published 22 May 2025. Accessed 17 October 2026. (vendor data)
14. Palo Alto Networks Unit 42 — Evolution of Sophisticated Phishing Tactics: The QR Code Phenomenon. Published 1 April 2025. Accessed 17 October 2026. (vendor data)