Faux PV au QR code : repérer l'arnaque avant de scanner

De faux avis de stationnement portant un QR code circulent en France, glissés sous les essuie-glaces ou postés au domicile. Le code renvoie vers une copie du site de paiement public. Le montant réclamé reste volontairement modeste : ce que les escrocs visent, ce sont votre carte bancaire et les pièces de votre dossier d'identité.

Le scénario est simple à imaginer. Vous retrouvez votre voiture, un papier est coincé sous l'essuie-glace, logo tricolore en en-tête, mention d'une infraction au stationnement, un QR code et quelques euros à régler. Vous scannez, vous payez, l'affaire est classée en trente secondes. Sauf qu'aucune amende n'a jamais existé, et que vos coordonnées bancaires viennent d'être saisies sur un site qui n'appartient pas à l'administration.

La ville de Melun a mis en garde ses habitants contre des faux avis de stationnement au QR code reprenant les codes graphiques de la République française. Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, classe ce procédé dans la famille du quishing, l'hameçonnage par QR code, et cite explicitement les faux avis de contravention envoyés au domicile ou collés sur les pare-brises, au même titre que les faux avis de passage postaux et les QR codes contrefaits apposés sur les parcmètres.

Le repère qui circule partout est faux, et c'est ce qui rend l'arnaque efficace

La consigne que l'on lit le plus souvent tient en une phrase : un vrai avis ne comporte jamais de QR code, un papier sous l'essuie-glace est forcément un faux. Les deux affirmations sont inexactes, et s'y fier revient à se donner une fausse sécurité.

Premier point. Un avis de contravention authentique reçu par courrier comporte bien un code à deux dimensions. La fiche officielle du service public consacrée au paiement d'une amende de contravention mentionne un Datamatrix, ce code carré qui sert au paiement de proximité chez un buraliste agréé, ainsi qu'une référence de télépaiement composée d'un numéro et d'une clé. La présence d'un carré noir et blanc sur un document administratif n'a donc rien d'anormal en soi.

Second point. Un avis de paiement de forfait post-stationnement, le dispositif qui a remplacé l'amende de stationnement payant, peut légalement être déposé sur le pare-brise par l'agent de contrôle, ou bien être adressé au domicile du titulaire du certificat d'immatriculation. Le choix appartient à la collectivité. Trouver un papier coincé sous l'essuie-glace ne prouve donc rien, ni dans un sens ni dans l'autre.

Autrement dit, les deux signaux que le public a retenus sont précisément ceux qui ne discriminent pas. C'est un cas d'école en sécurité : une règle simple, largement diffusée et partiellement fausse, produit plus de victimes qu'une absence de règle, parce qu'elle donne au lecteur l'illusion d'avoir vérifié.

Ce qui distingue réellement un faux avis d'un vrai

Trois critères tiennent la route, et ils portent tous sur la destination, jamais sur l'apparence du papier.

• Le domaine du site de paiement : seuls amendes.gouv.fr pour les contraventions et stationnement.gouv.fr pour les forfaits post-stationnement encaissent légalement. Une adresse qui contient « amendes » ou « gouv » ailleurs que juste avant le .fr final n'est pas un site public.
• La nature des informations demandées : régler une amende suppose une référence de télépaiement et un moyen de paiement. Jamais votre numéro fiscal, jamais votre numéro de permis, jamais une photo de votre carte d'identité. L'ANTAI alerte d'ailleurs sur des sites et courriers frauduleux qui collectent exactement ces pièces.
• Le rythme imposé : les vrais délais se comptent en semaines. Une amende forfaitaire se minore sous quinze jours et se majore après quarante-cinq jours, un forfait post-stationnement se paie dans les trois mois. Une échéance de quarante-huit heures affichée en gras est un marqueur de fraude, pas une procédure.

Retenez la hiérarchie : un document peut être parfaitement imité, un domaine ne peut pas l'être. C'est la seule chose que les escrocs ne peuvent pas copier, puisque .gouv.fr est réservé aux administrations françaises.

D'où viennent votre nom, votre adresse et votre plaque

C'est la question que l'on se pose en dernier, alors qu'elle explique tout le reste. Un courrier frauduleux crédible suppose un fichier de destinataires. Ce fichier existe, et il s'assemble de trois façons.

Il y a d'abord les données commerciales en circulation. Nom, prénom, adresse postale et parfois type de véhicule se louent et se revendent entre acteurs du marketing direct. Nous avons décrit le fonctionnement de ce circuit dans notre article sur les courtiers qui revendent vos données personnelles. Un jeu-concours automobile, une demande de devis d'assurance, une carte de fidélité dans une chaîne de centres auto : chacune de ces interactions alimente des bases qui finissent par changer de mains.

Il y a ensuite les fuites de données, qui livrent des lots déjà structurés. Les incidents touchant des organismes liés au véhicule ou à l'identité sont particulièrement sensibles, comme nous l'avions analysé lors de l'intrusion chez France Titres, l'ancienne ANTS, qui traite notamment les certificats d'immatriculation.

Il y a enfin la collecte de rue, la plus rudimentaire : relever des plaques dans un quartier et les recouper avec des bases accessibles. Elle explique les campagnes très localisées, concentrées sur quelques rues d'une même commune.

Le point commun des trois canaux est qu'ils reposent sur la persistance de vos coordonnées dans des fichiers que vous n'avez jamais consultés. Tant que ces fiches existent, elles resserviront, pour cette arnaque ou pour la suivante. Engager la suppression de vos données chez plus de 100 courtiers attaque le problème à sa source plutôt qu'à son symptôme, puisque c'est la disponibilité du couple nom et adresse qui rend le faux courrier possible.

Le vrai objectif : constituer un dossier d'usurpation

Un montant de quelques euros n'intéresse personne. La véritable valeur se trouve dans les écrans qui suivent le paiement.

Les pages frauduleuses répertoriées dans ce type de campagne demandent, sous couvert de « vérification de votre dossier », des éléments sans aucun rapport avec le règlement d'une amende : numéro fiscal, numéro de permis de conduire, scan du certificat d'immatriculation, photo recto verso de la carte d'identité. Rassemblés, ces éléments ne servent pas à encaisser quinze euros. Ils servent à ouvrir un compte à votre nom, à souscrire un crédit à la consommation, ou à revendre un dossier complet à d'autres réseaux.

Le paiement lui-même sert de porte d'entrée. Une carte saisie sur une fausse page peut être rejouée sur d'autres sites, ou enrôlée dans un portefeuille mobile si le fraudeur parvient à intercepter le code de validation, technique que nous détaillions à propos du faux conseiller bancaire et de l'usurpation de numéro.

Cette mécanique n'est pas propre au stationnement. Elle reprend exactement la logique de l'arnaque au colis : un prétexte plausible, une somme dérisoire, une page de paiement copiée. Seul le décor change. Si vos pièces d'identité ont pu être transmises, notre guide sur les 48 premières heures après une usurpation d'identité décrit les démarches à enclencher sans attendre.

Vérifier une amende en 90 secondes, sans rien scanner

La méthode qui suit fonctionne quel que soit le canal par lequel l'avis vous parvient, et elle ne demande aucune compétence particulière.

• 1. Ne scannez pas, même par curiosité. L'appareil photo affiche le lien avant ouverture, mais les adresses raccourcies masquent la destination réelle. Le gain d'information est nul, le risque ne l'est pas.
• 2. Tapez l'adresse vous-même. amendes.gouv.fr pour une contravention, stationnement.gouv.fr pour un forfait post-stationnement. Saisir douze caractères au clavier neutralise l'intégralité du procédé.
• 3. Cherchez l'avis par sa référence. Si le numéro figurant sur le papier ne correspond à aucun dossier sur le site officiel, le document est un faux. Cette vérification est gratuite et immédiate.
• 4. En cas de doute, passez par un canal séparé. Le service de stationnement de votre commune pour un forfait post-stationnement, le numéro officiel de télépaiement pour une contravention. Jamais un numéro imprimé sur le document suspect.
• 5. Signalez, puis jetez. Les sites frauduleux se signalent sur internet-signalement.gouv.fr, les SMS abusifs au 33700. Un signalement accélère le retrait du site et protège les personnes ciblées après vous.

Une remarque de terrain sur le point 2. Beaucoup d'utilisateurs passent par un moteur de recherche plutôt que par la barre d'adresse, et se retrouvent sur des sites intermédiaires payants qui facturent une prétendue assistance. Tapez le domaine directement, sans passer par la case recherche.

Vous avez scanné, ou pire, payé : la marche à suivre

L'ordre compte, car le premier geste conditionne le remboursement.

• Faire opposition sans délai. Depuis l'application bancaire ou le numéro d'urgence de votre établissement. Tant que la carte reste active, les débits peuvent se répéter.
• Contester les opérations par écrit. Le code monétaire et financier impose à la banque de rembourser les opérations non autorisées, et vous laisse treize mois à compter du débit pour les contester. Une contestation écrite et datée vaut mieux qu'un appel téléphonique.
• Effectuer un signalement Perceval. Ce téléservice de la gendarmerie, accessible depuis service-public.fr, enregistre les fraudes à la carte bancaire et fournit le récépissé que votre banque réclamera.
• Conserver les preuves. Photographiez le faux avis recto verso, notez l'adresse du site atteint, gardez les relevés. Un dossier constitué le jour même reste exploitable des mois plus tard.
• Traiter séparément les pièces d'identité. Si vous avez transmis une copie de votre carte d'identité ou de votre permis, le risque dépasse la fraude bancaire et relève de l'usurpation. Le dépôt de plainte devient utile, notamment pour opposer une antériorité en cas de contrat souscrit à votre nom.

Une fois l'urgence traitée, reste la question qui revient toujours : combien de temps vos données vont-elles continuer à circuler dans ces réseaux ? Activer une surveillance continue du darknet vous avertit lorsque vos coordonnées, votre adresse ou vos identifiants réapparaissent dans un nouveau lot, ce qui laisse le temps de réagir avant la prochaine sollicitation frauduleuse plutôt qu'après.

Réduire durablement la surface exploitable

Ce type de campagne fonctionne parce qu'un fichier existe quelque part. Quelques décisions structurelles réduisent la probabilité d'y figurer.

• Cloisonnez vos identités de contact. Une adresse dédiée aux démarches liées au véhicule, distincte de votre messagerie principale, permet d'identifier immédiatement quelle source a fuité quand un message suspect arrive.
• Refusez la transmission à des partenaires. Les cases d'acceptation présentes sur les formulaires de devis, de garantie ou de jeu-concours alimentent directement le marché des fichiers.
• Fermez les comptes que vous n'utilisez plus. Anciens comparateurs d'assurance, sites de petites annonces automobiles, plateformes de covoiturage abandonnées : chacun conserve une adresse valide et la diffuse à ses propres prestataires.
• Exigez l'effacement plutôt que l'opposition. L'opposition arrête l'envoi, l'effacement supprime la fiche. Sur la durée, seul le second empêche la revente ultérieure du même enregistrement.

Vous pouvez commencer par mesurer l'existant : vérifier gratuitement si votre adresse e-mail apparaît dans des fuites connues donne une première idée du volume de données déjà en circulation à votre sujet. Pour la suite, c'est-à-dire l'identification des sociétés qui détiennent une fiche à votre nom et l'envoi des demandes d'effacement fondées sur l'article 17 du règlement européen, confier ces démarches à une équipe qui assure les relances évite d'avoir à recommencer l'exercice à chaque nouvelle vague d'arnaques.

Questions fréquentes

J'ai scanné le QR code mais je n'ai rien saisi. Que risque-t-il de se passer ?

Dans l'immense majorité des cas, rien. Une page frauduleuse a besoin que vous remplissiez un formulaire pour obtenir quoi que ce soit. Par précaution, fermez l'onglet, n'installez aucune application proposée depuis cette page et vérifiez qu'aucun téléchargement n'a démarré. Si une application a été installée, désinstallez-la et redémarrez le téléphone.

Un vrai avis peut-il vraiment être déposé sur mon pare-brise ?

Oui, pour un forfait post-stationnement. La collectivité choisit entre l'apposition sur le véhicule et l'envoi postal par l'agence nationale. La présence du papier ne dit donc rien de son authenticité : seule la vérification de la référence sur le site officiel tranche.

Comment contester un forfait post-stationnement que je juge injustifié ?

La contestation passe par un recours administratif préalable obligatoire, à adresser à la collectivité dans le délai d'un mois suivant la réception de l'avis de paiement. Ce recours concerne uniquement les avis authentiques. Un faux avis ne se conteste pas, il se signale.

Puis-je être poursuivi si je ne paie pas un faux avis ?

Non, puisqu'aucune créance publique n'existe. Le risque serait inverse : ignorer un avis authentique expose à une majoration. D'où l'intérêt de vérifier la référence sur le site officiel plutôt que de trancher à l'apparence du document.

Faut-il prévenir sa commune ou la police ?

Les deux sont utiles. Le service de stationnement de la commune peut alerter les habitants, et le signalement aux forces de l'ordre permet de rattacher les cas isolés à une campagne organisée. Le site internet-signalement.gouv.fr reste le canal le plus rapide pour faire retirer la page frauduleuse.