Un QR code collé sur une borne de recharge ouvre une adresse web ; il ne prouve pas que cette adresse appartient à l’opérateur. Pour déjouer une arnaque, vérifiez avant de payer que l’adresse affichée correspond exactement au site officiel du réseau, recoupez-la par un canal que vous connaissez déjà et renoncez au moindre doute.
Vous saurez repérer une étiquette douteuse, lire l’adresse obtenue, retrouver l’opérateur réel de la station et réagir dans le bon ordre si votre carte a déjà été saisie.
Arnaque au QR code sur une borne de recharge : comment fonctionne le quishing
Le « quishing » est l’hameçonnage par QR code, c’est-à-dire une tentative de vous soutirer des données personnelles ou bancaires en se faisant passer pour un tiers de confiance. Cybermalveillance.gouv.fr décrit ce procédé dans un article mis à jour le 10 août 2026 et cite expressément de « faux QR codes collés sur des parcmètres ou sur des bornes de recharges de véhicule électriques ».
Un QR code est une image codée qui contient une information, souvent un lien. Le fraudeur colle son propre code par-dessus celui de l’exploitant ; selon Cybermalveillance.gouv.fr, un code malveillant peut diriger vers un site frauduleux ou faire télécharger un virus.
La plateforme publique juge cette menace « relativement mineure », mais réelle : une étiquette ne touche qu’un nombre limité de victimes, et le lien qu’elle cache n’est pas lisible à l’œil nu. La méthode consiste donc à rendre l’adresse visible, puis à la juger avant toute saisie.
Payer une recharge à l’acte : ce que le règlement européen impose
Depuis le 13 avril 2024, le règlement européen AFIR oblige chaque point de recharge ouvert au public à proposer une recharge « à l’acte », sans inscription, contrat écrit ni relation commerciale préalable. Connaître les moyens de paiement prévus aide à repérer l’anomalie.
Aux points déployés depuis cette date, au moins un des moyens ci-dessous doit être accepté. Un seul terminal peut desservir plusieurs points d’un même parc : le lecteur de carte se trouve parfois sur un totem séparé.
| Point ouvert au public | Paiement à l’acte prévu par AFIR | À en déduire |
|---|---|---|
| Moins de 50 kW, déployé depuis le 13 avril 2024 | Lecteur de carte, sans contact ou paiement en ligne sécurisé, comme un QR code | Le QR code peut être officiel : vérifiez sa destination |
| 50 kW ou plus, déployé depuis le 13 avril 2024 | Lecteur de carte ou dispositif sans contact lisant les cartes | Cherchez le terminal avant de scanner |
| 50 kW ou plus sur le réseau routier transeuropéen (RTE-T) ou une aire de stationnement sûre et sécurisée, même plus ancien | Carte par lecteur ou sans contact, à partir du 1ᵉʳ janvier 2027 | L’échéance ne vise pas toutes les bornes rapides |
| Point gratuit | Règles non applicables | Une demande de paiement doit alerter |
AFIR exige aussi des prix transparents ; aux points de 50 kW ou plus déployés depuis le 13 avril 2024, le prix à l’acte se fonde sur le kWh, avec d’éventuels frais à la minute, affichés avant la session. Une page qui réclame votre carte avant de montrer un tarif est suspecte. Notre guide du réseau de recharge publique en France détaille le rôle de chaque acteur.
Examiner la borne et l’étiquette avant de scanner
Regardez le support avant de sortir votre téléphone : un code collé sur un autre, une étiquette décalée ou qui se soulève appellent la prudence, mais l’absence de trace ne prouve rien.
Passez le doigt sur le bord de l’étiquette et comparez-la à celles des autres points de la station. Repérez surtout le nom de l’opérateur et le numéro d’assistance imprimés sur la borne : ils serviront à recouper l’adresse.
Une étiquette authentique peut aussi être périmée. Dans son livre blanc « Migrating Charging Stations » de novembre 2025, l’Open Charge Alliance, qui publie le protocole OCPP, avertit que les QR codes et étiquettes NFC fixes sont sensibles à la fraude et rappelle qu’ils doivent être remplacés ou redirigés lorsque la borne change d’opérateur. Si le nom de la page diffère de celui de la borne, arrêtez-vous : fraude ou ancien opérateur, impossible de trancher sur place.
Notez aussi l’identifiant du point s’il est inscrit. En itinérance, il commence par FR, suivi de trois caractères attribués par l’AFIREV puis d’un E, par exemple FRA68E680210015 : il désigne le point de recharge sans ambiguïté.
Lire l’adresse affichée après le scan, caractère par caractère
L’adresse est la seule information que transmet le QR code : lisez-la en entier avant de l’ouvrir. Si votre téléphone affiche un aperçu du lien, jugez-le à ce moment, pas une fois la page chargée.
La fiche de Cybermalveillance.gouv.fr sur l’hameçonnage donne le critère : si l’adresse « ne correspond pas exactement au site concerné, c’est très certainement un site frauduleux », et « un seul caractère peut changer » pour tromper. Concentrez-vous sur le nom de domaine, la partie qui identifie le site, placée entre « https:// » et la barre oblique suivante. Cherchez une lettre inversée, un mot ajouté au nom du réseau ou un lien raccourci qui masque la destination.
Une fois la page ouverte, la barre d’adresse doit garder le même domaine. Des redirections successives, une demande sans rapport avec une recharge ou un compte à rebours sont autant de raisons de fermer la page.
N’installez jamais une application depuis un fichier proposé après le scan : cherchez-la vous-même dans la boutique officielle, sous le nom de l’éditeur indiqué sur la borne.
Recouper avec l’opérateur par un canal que vous connaissez déjà
La vérification solide consiste à retrouver la station sans passer par le QR code : application officielle, site que vous tapez vous-même ou enregistré en favori, numéro d’assistance obtenu ailleurs que sur la page suspecte.
Cybermalveillance.gouv.fr recommande d’aller sur le site de l’organisme « par un lien favori que vous aurez vous-même créé ». Devant une borne, ouvrez l’application du réseau que vous avez déjà, cherchez la station par son adresse ou son identifiant et lancez la recharge depuis celle-ci.
Depuis le 14 avril 2025, l’article 20 d’AFIR, modifié par le règlement délégué (UE) 2025/671, oblige les exploitants de points publics à rendre disponibles sans frais, notamment, leur nom commercial, le numéro d’assistance, les moyens de paiement et le code d’identification du point. En France, un arrêté du 24 mars 2026 désigne transport.data.gouv.fr comme point d’accès national pour ces données.
Comparez donc trois noms : celui de la borne, celui de votre application et celui de la page ouverte par le code. S’ils divergent, ne payez pas et appelez l’assistance officielle. Notre guide des applications de recharge aide à choisir celles qui méritent une place sur votre téléphone.
Les signaux qui doivent vous faire renoncer
Un seul signal net suffit à abandonner le paiement par QR code : Cybermalveillance.gouv.fr conseille de s’abstenir d’ouvrir le lien au moindre doute. Voici les situations les plus parlantes.
| Signal observé | Ce qu’il peut indiquer | Réaction |
|---|---|---|
| Étiquette collée par-dessus une autre, décollée ou mal alignée | Code de substitution, ou étiquette d’un ancien opérateur | Ne pas scanner ; passer par l’application ou le terminal de carte |
| Nom de domaine différent du nom de l’opérateur affiché sur la borne | Site frauduleux ou redirection périmée | Fermer la page ; appeler l’assistance officielle |
| Aucun prix affiché avant la demande de carte | Page contraire à l’exigence de prix transparents | Ne rien saisir |
| Téléchargement d’un fichier ou d’une application hors boutique officielle | Logiciel malveillant | Refuser et fermer |
| Demande d’identifiants d’un autre service | Tentative de prise de contrôle d’un compte | Refuser ; changer le mot de passe s’il a été saisi |
| Compte à rebours, menace de pénalité, message pressant | Manœuvre pour empêcher la vérification | Prendre le temps ou changer de station |
Changer de point coûte quelques minutes ; une carte compromise impose une opposition et des démarches.
Liste de contrôle : préparer vos moyens de paiement et vérifier sur place
La meilleure protection consiste à ne pas dépendre d’un QR code inconnu : arrivez avec deux moyens d’accès vérifiés, puis contrôlez quatre points.
Avant le départ, préparez ceci :
- l’application d’un ou deux réseaux ou d’un fournisseur de badges, avec un compte créé chez vous ;
- un badge de recharge si vous rechargez souvent dehors ;
- une carte bancaire sans contact pour les bornes rapides récentes ;
- les sites de vos réseaux en favoris ;
- un mot de passe différent pour chaque compte de recharge et la double authentification lorsqu’elle est proposée, comme le conseille Cybermalveillance.gouv.fr.
Sur place, vérifiez dans cet ordre :
- l’état de l’étiquette et la présence éventuelle d’un terminal de carte ;
- le nom de l’opérateur et le numéro d’assistance inscrits sur la borne ;
- le nom de domaine de l’adresse, avant ouverture ;
- l’affichage du prix avant toute saisie bancaire.
Pour organiser ces moyens d’accès sur un long parcours, suivez notre guide des longs trajets ; pour anticiper une panne d’application, lisez celui sur l’application de recharge indisponible. Pour une question sur les moyens d’identification d’une future borne, écrivez-nous.
Si vous avez déjà saisi vos coordonnées bancaires
Faites opposition immédiatement, puis signalez la fraude et demandez le remboursement : l’ordre compte, car selon service-public.gouv.fr, une opposition tardive peut conduire la banque à refuser de rembourser.
- Opposition. Appelez votre banque ou le serveur interbancaire d’opposition au 0 892 705 705, numéro payant ouvert 7 jours sur 7 et 24 h sur 24. Le numéro d’enregistrement remis vous donne une trace datée.
- Preuves. Photographiez l’étiquette, notez l’adresse, l’heure et la station, comme le conseille Cybermalveillance.gouv.fr.
- Signalement ou plainte. Si des débits frauduleux apparaissent, signalez-les en ligne sur Perceval, traité par la gendarmerie nationale, avec le numéro d’opposition, le numéro de carte et vos relevés, ou portez plainte au commissariat ou à la gendarmerie. Perceval vous adresse un accusé de réception par courriel.
- Remboursement. Contestez les débits auprès de votre banque. Elle doit rembourser immédiatement et au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation. Un paiement frauduleux de plus de 13 mois ne peut pas être remboursé ; hors de l’Espace économique européen, le délai est de 70 jours.
- Mots de passe. Si vous en avez saisi un, changez-le sur le service concerné et partout où vous l’utilisiez.
Signalez l’adresse du faux site à Phishing Initiative, qui la bloquera selon Cybermalveillance.gouv.fr, et prévenez l’exploitant. Pour être conseillé : Info Escroqueries au 0 805 805 817, France Victimes au 116 006. Nos conseils pour protéger son compte de recharge complètent ces démarches.
Exploitants de bornes : limiter le risque sur votre parc
Si vous exploitez des bornes ouvertes au public, l’Open Charge Alliance recommande, lorsque c’est possible, des QR codes dynamiques affichés sur un écran plutôt que des étiquettes fixes.
OCPP est le protocole de communication ouvert entre les bornes et leur logiciel de supervision. Selon l’Open Charge Alliance, sa version 2.1 introduit des QR codes dynamiques sécurisés pour le paiement à l’acte et prend en charge le paiement par carte via un terminal intégré ou séparé. Demandez au fournisseur si votre modèle et sa supervision gèrent réellement ces fonctions.
En attendant, contrôlez les étiquettes à chaque maintenance, remplacez-les ou redirigez-les à chaque changement d’opérateur et tenez à jour les données publiées : le règlement d’exécution (UE) 2025/655 impose de mettre à jour les données statiques au plus tard 24 heures après une modification.
Pour un point de 50 kW ou plus sur le réseau routier transeuropéen ou sur une aire sûre et sécurisée, prévoyez dès maintenant l’acceptation de la carte exigée au 1ᵉʳ janvier 2027. Notre page supervision de bornes de recharge présente la supervision OCPP ; pour un projet chiffré, passez par le devis professionnel, avec visite technique et devis détaillé.
L’essentiel à retenir
- Un QR code sur une borne ne prouve pas l’identité de l’opérateur : lisez le nom de domaine en entier avant d’ouvrir la page.
- Recoupez toujours par un canal indépendant : application officielle, favori créé par vous, numéro d’assistance inscrit sur la borne.
- Sur un point de 50 kW ou plus déployé depuis le 13 avril 2024, AFIR impose un paiement par carte, avec lecteur ou sans contact : cherchez le terminal avant de scanner.
- Au moindre doute, renoncez et changez de station ou de moyen de paiement.
- Si vous avez saisi votre carte, faites opposition au plus vite, conservez les preuves, signalez la fraude et demandez le remboursement dans les 13 mois, 70 jours hors de l’Espace économique européen.
Questions fréquentes
Comment vérifier qu’un QR code sur une borne de recharge n’est pas une arnaque ?
Regardez d’abord l’étiquette : un code collé sur un autre ou décollé doit vous arrêter. Lisez ensuite l’adresse avant de l’ouvrir ; Cybermalveillance.gouv.fr rappelle qu’une adresse qui ne correspond pas exactement au site concerné est très certainement frauduleuse, et qu’un seul caractère peut changer. Comparez enfin le nom de la page avec l’opérateur inscrit sur la borne et, au moindre doute, lancez la recharge depuis l’application officielle du réseau.
Peut-on recharger sur une borne publique sans application ni abonnement ?
Oui. Depuis le 13 avril 2024, le règlement européen AFIR oblige chaque point de recharge ouvert au public à proposer une recharge à l’acte, achetée sans inscription, contrat écrit ni relation commerciale préalable. Aux points déployés depuis cette date, le paiement passe par un lecteur de carte, un dispositif sans contact ou, sous 50 kW seulement, un paiement en ligne sécurisé comme un QR code. Ces règles ne visent pas les points gratuits.
Une borne de recharge rapide doit-elle accepter la carte bancaire ?
Oui pour les points de 50 kW ou plus déployés depuis le 13 avril 2024 : AFIR y impose un lecteur de carte ou un dispositif sans contact lisant les cartes, et un seul terminal peut servir plusieurs points du même parc. À partir du 1ᵉʳ janvier 2027, l’obligation s’étend aux points de 50 kW ou plus installés avant cette date et situés sur le réseau routier transeuropéen ou sur une aire de stationnement sûre et sécurisée.
Ma banque doit-elle me rembourser après une fraude par faux QR code ?
Oui pour les paiements frauduleux, si vous réagissez vite. Selon service-public.gouv.fr, la banque rembourse immédiatement et au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation. Une opposition tardive peut justifier un refus, et un paiement frauduleux de plus de 13 mois ne peut pas être remboursé, 70 jours s’il a eu lieu hors de l’Espace économique européen. Pour la somme validée vous-même sur la fausse page, interrogez votre banque sur votre cas.
Quel numéro appeler pour faire opposition à sa carte bancaire ?
Appelez votre banque ou le serveur interbancaire d’opposition à carte bancaire au 0 892 705 705. Selon service-public.gouv.fr, ce numéro payant fonctionne 7 jours sur 7 et 24 h sur 24, et vous remet un numéro d’enregistrement qui date votre demande. Gardez-le : il sert ensuite pour le signalement en ligne sur Perceval et pour votre demande de remboursement auprès de la banque.
Où signaler un faux QR code collé sur une borne de recharge ?
Prévenez d’abord l’exploitant avec le numéro d’assistance inscrit sur la borne ou dans son application officielle, pour qu’il retire l’étiquette. Signalez l’adresse du faux site à Phishing Initiative, qui bloquera cette adresse selon Cybermalveillance.gouv.fr. Si des débits frauduleux apparaissent, signalez-les sur Perceval ou portez plainte. Pour être conseillé, contactez Info Escroqueries au 0 805 805 817, appel gratuit du lundi au vendredi, de 9 h à 18 h 30.
