Faux PV de stationnement, QR code sur le pare-brise, copie d’amendes.gouv.fr, comment déjouer le quishing

Un papier au sceau de la République française coincé sous l’essuie-glace, une « infraction au stationnement » à régler en flashant un QR code, et cette hésitation au moment de sortir le téléphone: d’où sort ce PV que rien n’annonçait…? L’intuition est la bonne: ce document soigné n’a rien d’officiel. Le carré noir et blanc mène vers une copie du site des amendes, fabriquée pour une seule chose — aspirer votre numéro de carte bancaire.

Le procédé porte un nom, le quishing, contraction de « QR code » et de « phishing », et il figure en toutes lettres parmi les scénarios recensés par le dispositif public Cybermalveillance.gouv.fr. Sur les pare-brise, il circule depuis 2023: signalé d’abord en province et en banlieue, il a atteint les rues de Paris fin novembre 2025, comme l’ont raconté L’argus et Le Bonbon, après être passé par Melun et d’autres communes.

Montant « minoré » à 35 euros, menace de majoration sous 48 heures, site imité jusqu’à la typographie: tout est calibré pour faire payer vite, sans réfléchir. Voici à quoi ressemble le faux, comment un véritable avis vous parvient réellement — jamais par ce canal — et les gestes qui limitent la casse si vous avez déjà scanné.

Un faux avis qui singe l’administration jusqu’au sceau

À Melun, où la mairie a publié une alerte dédiée, le document ouvre sur une formule à l’allure procédurale : « Une infraction à la réglementation du stationnement a été relevée à votre encontre ». La Ville signale au passage un indice matériel qui ne trompe pas : le papier est plus grand qu’une contravention classique, celle que l’on connaît glissée dans sa pochette plastifiée.

À Paris, Le Bonbon décrit des avis frappés du sceau « République française », découverts fin novembre 2025 rue des Dardanelles, dans le 17e arrondissement : 35 euros à régler via le QR code imprimé, avec menace de passer à 135 euros sous 48 heures en cas de retard. Le vocabulaire emprunte au lexique authentique du stationnement — « avis de paiement », « forfait », « majoration » —, et les montants sont choisis pour sonner juste : la mairie de Melun rappelle que le stationnement très gênant vaut réellement 135 euros.

Le document invite à régler « directement » en scannant le code avec son téléphone — c’est là tout le piège. La mairie de Melun martèle dans son alerte que le seul site légitime pour payer une amende est amendes.gouv.fr, et relève que l’adresse vers laquelle renvoie le faux QR code comporte des anomalies, invisibles pour qui ne prend pas le temps de la lire.

La mécanique psychologique est bien huilée. La somme initiale est assez faible pour être réglée sans discuter, le compte à rebours assez court pour dissuader de vérifier, et le décor administratif assez crédible pour endormir la méfiance. C’est précisément ce cocktail — petite somme, urgence, apparence officielle — qui doit désormais vous servir de signal d’alarme.

Derrière le QR code, une fausse caisse enregistreuse

Une fois scanné, le code ouvre un site qui imite l’ANTAI ou amendes.gouv.fr : logos copiés, charte graphique gouvernementale, parcours de paiement en apparence standard, détaille Le Bonbon. Rien n’y manque, pas même le récapitulatif de « votre dossier ». L’argus cite des adresses conçues pour rassurer un œil pressé, comme « idf-stationnement.com », ou des variantes glissant les mots « antai » et « gouv » dans des noms de domaine fantaisistes.

La règle qui démasque ces copies tient en une ligne : les sites de l’administration française se terminent par .gouv.fr — pas « gouv » quelque part dans l’adresse, mais bien en toute fin, avant la première barre oblique. « idf-stationnement.com » ou « antai-gouv » suivi d’une autre extension ne passent pas ce test, quelle que soit la qualité de l’imitation.

Autre fausse assurance : le cadenas du navigateur. Un site frauduleux peut parfaitement afficher une connexion « sécurisée » — le fameux https —, car le chiffrement protège l’échange, pas l’honnêteté de l’interlocuteur. Ne vous fiez donc ni au design, ni au cadenas, ni aux logos : seule la lecture attentive du nom de domaine, jusqu’à son extension finale, fait foi.

Le formulaire, lui, réclame l’essentiel : identité, adresse, immatriculation, puis numéro de carte, date d’expiration et cryptogramme. Ces données partent instantanément chez les escrocs, pour des débits directs ou une revente. Plusieurs plaintes ont été déposées dans les villes touchées, et les municipalités concernées ont dû publier leurs propres mises en garde.

Cybermalveillance.gouv.fr classe d’ailleurs les « faux avis de contravention reçus au domicile ou laissés sur pare-brises » parmi les scénarios types du quishing, aux côtés des codes frauduleux collés sur les parcmètres, les bornes de recharge électrique ou les faux avis de passage postaux. Le support varie, le principe jamais : un QR code ne dit rien de sa destination tant qu’il n’a pas été scanné — c’est toute la force du piège.

Ce que deviennent vos données

Une carte bancaire captée de cette façon sert rarement une seule fois. Les premiers débits sont souvent discrets — quelques euros, pour vérifier que la carte répond —, avant des achats plus lourds ou une revente du numéro. Et le fichier constitué (nom, adresse, plaque, téléphone si vous l’avez renseigné) alimente les étapes suivantes : de faux « conseillers bancaires » rappellent parfois les victimes quelques jours plus tard, précisément parce qu’ils savent déjà tout d’elles.

C’est pour cela que la réponse ne s’arrête pas à l’opposition : il faut considérer l’ensemble des informations saisies comme compromises, et accueillir avec méfiance tout appel ou message « officiel » qui suivra — nous y revenons plus bas.

De Melun au 17e arrondissement, une tournée bien rodée

L’argus, qui suit le phénomène depuis mai 2023, décrit une progression géographique nette : d’abord la province et la grande couronne, puis la petite couronne, et enfin Paris intra-muros, avec des cas documentés dans le 17e arrondissement au 28 novembre 2025. Le magazine automobile a d’ailleurs remis son alerte à jour dès le 1er décembre, signe que les signalements affluaient.

La logistique explique cette diffusion : une imprimante, une rame de papier et quelques minutes suffisent pour équiper tous les pare-brise d’une rue. Les escrocs opèrent par grappes, un quartier à la fois, puis disparaissent avant que les premières victimes ne comparent leurs « avis ». Les sites frauduleux, eux, sont remplacés à mesure qu’ils sont bloqués.

Le modèle économique éclaire aussi la récidive. Un « forfait » à 35 euros se situe sous le seuil où beaucoup de victimes renoncent à porter plainte, et les paiements, dispersés sur des dizaines de communes, compliquent les recoupements. D’où l’importance, même pour une petite somme, de signaler systématiquement : chaque plainte et chaque papier remis à la police municipale aide à cartographier la tournée des escrocs.

Le filon n’est pas près de se tarir : en juillet, notre première alerte sur les faux PV à QR code décrivait déjà les mêmes papiers frappés du logo de la République. Cette nouvelle enquête complète le tableau : qui est derrière le guichet, comment un vrai avis circule, et quoi faire une fois piégé.

Comment un vrai avis vous parvient réellement

Depuis la réforme du stationnement payant de 2018, rappelle L’argus, le dépassement d’horodateur n’est plus une contravention mais un forfait de post-stationnement (FPS), fixé par chaque commune. Et son avis de paiement vous parvient par courrier, à l’adresse du titulaire de la carte grise — pas sous l’essuie-glace. Un papier déposé sur votre voiture pour un simple dépassement de parcmètre est donc, par construction, suspect.

À Paris, plus un seul papier sous l’essuie-glace

La capitale a poussé la logique au bout. Le contrôle y est assuré par des voitures à lecture automatique des plaques — les « scan cars » — et la procédure est intégralement dématérialisée : l’avis de paiement arrive uniquement par courrier, souligne Le Bonbon, qui renvoie les Parisiens vers le portail officiel de gestion des FPS. Autrement dit, à Paris, le faux se reconnaît avant même de lire la première ligne : aucun avis authentique n’est déposé sur les véhicules.

Les canaux officiels de l’ANTAI

Pour les contraventions classiques, l’Agence nationale de traitement automatisé des infractions (ANTAI) envoie ses avis par courrier, et son site liste des canaux de paiement précis : le site amendes.gouv.fr, l’application officielle Amendes.gouv et le serveur vocal au 0806 20 30 40. Aucun de ces points d’entrée ne passe par un QR code collé sur votre pare-brise. La contestation, elle, se fait en ligne sur usagers.antai.gouv.fr.

Deux circuits coexistent donc, et aucun ne passe par votre pare-brise : le forfait de post-stationnement, émis par la commune et notifié par courrier, avec son portail dédié stationnement.gouv.fr ; et la contravention, traitée par l’ANTAI, notifiée par courrier elle aussi. L’agence met même à disposition des lignes d’information distinctes — 0806 606 606 pour le contrôle automatisé, 0806 609 625 pour le PV électronique — que vous pouvez appeler pour vérifier un dossier.

Détail révélateur : l’agence consacre une rubrique entière de son site à la question « Vous avez reçu un courriel de l’ANTAI ? », pour aider les usagers à distinguer ses vrais messages des imitations. L’usurpation de son identité est devenue un sujet à part entière — le faux PV de pare-brise n’en est que la déclinaison papier.

Trente secondes de vérifications qui sauvent votre carte

Face à un papier trouvé sur votre pare-brise, quelques gestes simples suffisent. Aucun ne demande de compétence technique :

• Ne scannez jamais un QR code trouvé sur un véhicule, un horodateur ou une borne : vous ne pouvez pas savoir où il mène avant d’avoir cliqué.
• Tapez l’adresse vous-même : pour payer une amende réelle, saisissez amendes.gouv.fr à la main dans votre navigateur, jamais depuis un lien ou un code.
• Contrôlez la fin de l’adresse : seuls les domaines se terminant par .gouv.fr sont officiels ; « idf-stationnement.com » et consorts n’en font pas partie.
• Comparez les détails : immatriculation exacte, date, heure, lieu précis. Les faux avis restent souvent vagues, quand un avis réel est circonstancié.
• Méfiez-vous du chrono : une « majoration sous 48 heures » exigée séance tenante est un ressort de pression, pas une procédure.
• Dans le doute, appelez la police municipale de la commune, ou composez le 17 — les réflexes que recommande la Ville de Melun à ses habitants.

Et rappelez-vous le principe qui coiffe tous les autres : si un forfait ou une amende vous concerne vraiment, un avis officiel finira par arriver par courrier à votre domicile. Tant que rien ne vous a été notifié par les canaux officiels, vous n’avez rien à payer — surtout pas en pleine rue, téléphone à la main.

Vous avez scanné et payé, chaque heure compte

Si vous avez saisi votre carte sur le faux site, faites opposition immédiatement, depuis l’application de votre banque ou le numéro figurant au dos de la carte, puis passez vos comptes au peigne fin pendant plusieurs semaines : les petits débits « tests » précèdent souvent les gros.

Restez ensuite sur vos gardes, car vos coordonnées sont désormais entre leurs mains. Un « conseiller bancaire » peut vous rappeler dans les jours suivants pour « sécuriser votre compte » : raccrochez, ne communiquez jamais un code reçu par SMS, et souvenez-vous que la banque doit rembourser les opérations non autorisées — c’est à elle de prouver une négligence grave, pas à vous de vous justifier.

Conservez le faux avis, photographiez-le en place si possible, et déposez plainte — au commissariat, ou en préparant le dossier via la plateforme Ma Sécurité que citent les communes touchées. Prévenez aussi la mairie ou la police municipale : c’est ainsi que les campagnes locales d’affichage frauduleux sont repérées, et les papiers retirés avant de faire d’autres victimes.

Vos droits au remboursement

Un paiement arraché par un faux site n’est pas une opération que vous avez « autorisée » au sens du code monétaire et financier. Votre banque doit rembourser une opération non autorisée immédiatement, au plus tard à la fin du premier jour ouvrable suivant votre signalement, et vous disposez de 13 mois après le débit pour contester une opération frauduleuse.

Si l’établissement invoque votre « négligence grave » pour refuser, ne vous laissez pas impressionner : c’est à lui d’en apporter la preuve, et les tribunaux jugent qu’une simple crédulité face à une mise en scène soignée n’en est pas une. Notre décryptage cité plus haut détaille la marche à suivre, courriers types et jurisprudence à l’appui.

Le quishing prospère sur un réflexe moderne — scanner sans y penser — appliqué au pire endroit qui soit : la voie publique, où n’importe qui peut déposer n’importe quoi. Inversez la logique une fois pour toutes : dans vos démarches avec l’administration, c’est toujours vous qui tapez l’adresse, jamais un bout de papier qui décide pour vous. Ce réflexe-là vaut pour les amendes comme pour les impôts, les colis ou la carte Vitale — toutes les déclinaisons d’une même industrie du faux courrier officiel.

Sources

• Arnaque aux faux PV de stationnement : surveillez votre pare-brise à Paris et en province ! – L’argus
• Cette arnaque au faux PV de stationnement piège les automobilistes parisiens – Le Bonbon
• Fausse contravention stationnement : attention à l’arnaque du QR code ! – Ville de Melun