Dans cet article
Quelque part sur une terrasse, dans un food hall ou à une table près de la fenêtre, quelqu'un colle aujourd'hui un sticker sur un QR code qui était déjà là. Pas sur un horodateur cette fois-ci — sur le code que vos clients utilisent pour ouvrir le menu, passer commande ou régler l'addition. La question n'est pas de savoir si cela peut arriver. La question est de savoir à quelle fréquence cela se produit déjà, pourquoi presque personne ne le remarque, et ce que ça coûte vraiment face à ce que coûte la solution.
Il y a quatre ans, presque aucun restaurant n'avait de QR code sur ses tables. Aujourd'hui, la majorité en a au moins un : pour le menu, pour commander, et dans un nombre croissant d'établissements, pour régler l'addition aussi. Ce basculement s'est fait à toute vitesse, et personne, entre-temps, ne s'est arrêté sur une question toute simple : comment un client sait-il vraiment que l'étiquette qu'il scanne est bien la vôtre ?
La réponse honnête est : il ne le sait pas. Un QR code est un motif noir et blanc sans aucun expéditeur identifiable — pas de logo, pas de barre d'adresse à vérifier, aucun réflexe du type « est-ce que c'est vraiment fiable ? » comme face à un lien douteux dans un e-mail. C'est exactement ce qui en fait la cible parfaite pour ce que les chercheurs en cybersécurité appellent le « quishing » : QR code plus phishing.
Cet article ne parle pas des avantages de la commande par QR code — ils sont déjà traités ailleurs sur ce site, et ils sont bien réels. Il parle de ce qui se passe quand quelqu'un d'autre que vous colle un sticker sur votre propre table, et c'est le pendant physique du guide de cybersécurité déjà publié sur ce site, consacré à sécuriser vos propres systèmes — ici, il s'agit d'une attaque qui ne touche ni votre Wi-Fi ni votre caisse, seulement le petit bout de papier posé sur la table 4.
Sept chiffres, dans cet ordre : pourquoi ce problème n'apparaît que maintenant, à quoi ressemble le remplacement dans la pratique, pourquoi vos clients ne le voient pas, ce que coûte en moyenne une étiquette scannée, le calcul qui rend l'opération rentable pour un criminel, ce que la police et les autorités en disent déjà, et la solution qui ne coûte presque rien.
Pourquoi « ce n'est qu'un autocollant » entretient le problème
La plupart des établissements n'ont aucune routine pour vérifier leurs propres QR codes, pour la même raison qu'un client qui part sans payer : personne n'y a jamais vraiment réfléchi. Un sticker est posé une fois, à l'ouverture, et ensuite plus personne ne le regarde — sauf quand il se décolle ou se salit.
C'est exactement la fenêtre dans laquelle vit cette fraude. Un sticker de remplacement, imprimé dans la même couleur et à peu près au même format que l'original, ne se remarque pas en plein service — ni le client, ni le serveur qui passe avec quatre assiettes à la fois, ni le patron qui gère la salle plutôt que d'inspecter chaque table.
La suite de cet article s'appuie sur ce que l'on sait réellement : pourquoi cette surface d'attaque n'existe que depuis peu, à quoi ressemble le remplacement dans la pratique, ce que ça coûte quand ça tourne mal, et l'unique habitude qui réduit le plus vite le risque — pas un nouveau système, mais un QR code qui n'est pas facile à remplacer.
Guide gratuit Tout le numérique de votre établissement, dans un seul guide De la commande par QR code à la cybersécurité — le guide complet du volet numérique de votre restaurant. Lire le guide7 chiffres que la plupart des établissements n'ont jamais cherchés
Chacun de ces chiffres tient debout tout seul, et provient d'une source officielle ou d'une étude publiée — aucun chiffre ci-dessous n'est une estimation de ce site. Ensemble, ils expliquent pourquoi un sticker QR code n'est pas une décoration, mais un élément d'infrastructure de paiement qui mérite autant d'attention que votre système de caisse.
1. Pourquoi ce problème n'apparaît que maintenant
Avant 2020, cette surface d'attaque était presque inexistante : les QR codes sur les tables de restaurant étaient une curiosité, pas une infrastructure. Cela a changé. Dans le monde, 75 % des restaurants utilisent aujourd'hui un QR code pour le menu, la commande ou le paiement — un basculement survenu en moins de cinq ans.
Chaque QR code que vous ajoutez est une nouvelle part de confiance que vous demandez à un client, sans qu'il puisse vérifier où elle mène. Avec un seul sticker sur la table, c'est un risque limité. Avec un menu, un bouton de commande et un lien de paiement, ce sont trois occasions qu'un criminel peut saisir.
Ce n'est pas une raison pour renoncer aux QR codes — le confort et les économies sont bien réels, et ce site en a déjà parlé séparément. C'est en revanche la raison pour laquelle le reste de cet article vaut la peine : cette surface d'attaque est nouvelle, et dans la plupart des établissements, les habitudes pour la sécuriser ne le sont pas encore.
Quatre chiffres, chacun issu d'une source différente — ensemble, la raison pour laquelle un sticker QR code est aujourd'hui une cible plus attirante qu'il y a cinq ans.
Sources : KeepNet Labs / CNBC (juillet 2025) pour les chiffres de croissance et de détection ; chiffres d'adoption du QR code issus d'études sectorielles sur l'usage du QR code en restauration, 2025.
2. À quoi ressemble le remplacement dans la pratique
La méthode est étonnamment simple, et c'est justement ce qui la rend efficace : un criminel imprime un sticker portant son propre QR code, à peu près à la même taille et sur un matériau semblable à l'original, et le colle tout simplement par-dessus le code existant. Pas d'effraction, aucune connaissance technique de vos systèmes n'est nécessaire — juste assez d'accès à la table pour le temps qu'il faut à coller une étiquette.
La police fédérale belge a lancé une mise en garde explicite après que des horodateurs à Bruxelles ont été visés exactement de cette façon : un faux sticker collé sur le vrai QR code, redirigeant les utilisateurs vers une fausse page de paiement. La FTC américaine et le NYC Department of Transportation ont émis des avertissements quasi identiques après des incidents similaires sur des parcmètres et des bornes de recharge électrique.
Les tables de restaurant figurent sur cette même liste de cibles, aux côtés des cartes de menu, des affiches et des terminaux de paiement — partout où un QR code peut rester sans surveillance un moment. Le mécanisme est toujours identique : le client scanne ce qu'il croit être l'original, et arrive sur une page conçue pour lui ressembler en tout point.
3. Pourquoi vos clients ne le voient pas
Un QR code ne révèle pas sa destination avant d'être scanné. Avec un lien dans un e-mail, on peut survoler avec la souris et voir la vraie URL — avec un petit carré noir et blanc sur un sticker, c'est tout simplement impossible. Le téléphone accorde en plus davantage confiance à un lien ouvert via l'appareil photo qu'au même lien dans un e-mail, précisément parce que scanner un QR code donne l'impression d'un geste physique, « sûr ».
Une étude sur le comportement des consommateurs face au quishing, analysée par CNBC à partir de données du FBI, de la FTC et d'agences d'État, montre que seulement 39 % des gens reconnaissent un QR code falsifié avant de le scanner. Autrement dit : 61 % ne voient aucune différence entre votre vraie étiquette et celle que quelqu'un a collée par-dessus.
Ce n'est pas une question de clients inattentifs. Un sticker qui a l'air identique, qui se trouve au même endroit et donne la même impression de « scannez-moi » est conçu pour exploiter exactement cette confiance — chez un client attentif tout autant que chez un client pressé.
4. Ce que coûte en moyenne une étiquette scannée
Quand un client scanne le faux code, l'une de deux choses se produit. La page ressemble à un écran de paiement et demande des coordonnées bancaires qui partent directement chez le criminel — l'addition n'est donc jamais réglée chez vous, alors que le client, lui, pense avoir payé. Ou la page imite votre menu ou votre système de commande et récolte discrètement des identifiants ou des informations personnelles utilisés plus tard pour de l'usurpation d'identité.
Une analyse de CNBC, basée sur des données du FBI, de la FTC et d'agences d'État (juillet 2025), chiffre la perte moyenne par victime de quishing à 1 225 $ — soit environ 1 150 €. C'est le montant par scan réussi, pas par établissement : une seule table vulnérable peut être touchée plusieurs fois avant que quelqu'un ne s'en aperçoive.
Pour votre établissement, le dommage est double. L'addition « payée » via la fausse page n'arrive jamais sur votre compte — et le client qui se sent trompé vous en tient rigueur à vous, pas au criminel qui a collé le sticker. Ce second volet, la confiance du client, n'apparaît dans aucune comptabilité, mais c'est souvent lui qui pèse le plus lourd.
5. Le calcul qui rend l'opération rentable pour un criminel
Imprimer et plastifier un faux sticker ne coûte à un criminel qu'à peine quelques euros — le même matériel et la même imprimante que pour un sticker légitime. Face à une perte moyenne dépassant mille euros par scan réussi, c'est un rendement que peu d'autres formes de fraude peuvent égaler.
Ce calcul explique aussi pourquoi le quishing progresse aussi vite. Selon les chiffres de l'entreprise de cybersécurité KeepNet Labs, cités par CNBC, le nombre d'attaques de quishing a augmenté de 587 % depuis 2023 — désignée par le FBI lui-même comme la forme de phishing qui progresse le plus vite. Entre-temps, 26 % de tous les liens malveillants sont désormais diffusés via un QR code plutôt que par un e-mail de phishing classique.
Pour un criminel, un QR code de table dans un restaurant est exactement la cible idéale : bon marché à falsifier, difficile à distinguer de l'original, et scanné à coup sûr par plusieurs personnes au cours d'un même service.
Ce que la fraude coûte à un criminel, face à ce qu'elle coûte à une victime — avec la protection quelque part entre les deux.
La dernière barre correspond à la perte moyenne par scan de quishing réussi (CNBC, juillet 2025), convertie dans votre propre devise. Les deux premières sont des montants d'ordre de grandeur illustratifs, pas une liste de prix exacte.
6. Ce que la police et les autorités en disent déjà
Il ne s'agit pas d'un scénario hypothétique inventé par ce site — c'est un problème que les pouvoirs publics reconnaissent explicitement. Le FBI américain a lancé sa première mise en garde en janvier 2022 contre des criminels falsifiant des QR codes pour rediriger leurs victimes vers des sites malveillants, et a répété cet avertissement à plusieurs reprises depuis, le plus récemment en 2025.
Plus près de chez nous, la police fédérale belge a explicitement mis en garde contre le « quishing » après que des horodateurs à Bruxelles ont été visés de cette manière, et le SPF Économie (l'autorité belge des affaires économiques) a publié sa propre page de conseils aux consommateurs sur les QR codes utilisés pour « régler » une facture. Les deux institutions citent dans le même souffle les tables de restaurant, les parcmètres et les terminaux de paiement comme des points vulnérables.
Ce niveau de reconnaissance officielle est lui-même un chiffre qui compte : lorsque le FBI américain et la police fédérale belge décrivent, indépendamment l'un de l'autre, exactement la même méthode, il ne s'agit pas d'un incident isolé — c'est un schéma de fraude établi, auquel votre établissement doit être préparé.
7. La solution qui ne coûte presque rien
La protection la moins chère est aussi la plus simple : cessez de laisser votre QR code sous forme d'étiquette remplaçable. Faites-le plastifier dans le plateau de la table, gravez-le sur un présentoir, ou imprimez-le directement sur le menu plutôt que comme sticker isolé — toute solution qui rend visible un autocollant collé par-dessus fait l'essentiel du travail.
La deuxième couche ne coûte aucun matériel, seulement une habitude : intégrez la vérification de chaque QR code de table à votre tournée d'ouverture et de fermeture. Ce site en a déjà parlé séparément — c'est exactement le genre de contrôle court et récurrent pour lequel cette check-list existe, et un sticker collé par-dessus un autre saute immédiatement aux yeux dès qu'on y prête attention.
La troisième option, pour ceux qui préfèrent malgré tout des stickers isolés : un QR code dynamique qui change à chaque commande ou chaque jour, généré directement depuis votre propre système de caisse plutôt qu'imprimé une fois et réutilisé pendant des années. Un code qui ne sera plus valide dès demain ne présente plus aucun intérêt pour un criminel.
Faites le calcul pour votre établissement
Renseignez vos propres chiffres. Le taux d'incidents est réglé par défaut sur une hypothèse prudente — il n'existe pas de fréquence fiable par restaurant pour ce type de fraude, ceci est donc un exercice de réflexion, pas une prévision.
Ce n'est pas de la comptabilité : l'important n'est pas le montant exact, mais de savoir si la colonne « exposition » dépasse la colonne « protection » selon des hypothèses réalistes pour votre établissement.
Exposition annuelle face au coût pour la prévenir
Renseignez vos propres chiffres — le reste se calcule tout seul.
—
Taux d'incidents par défaut : 1 % des semaines — une hypothèse prudente, pas une fréquence mesurée. N'hésitez pas à la remplacer par votre propre estimation.
Ceci est un exercice de réflexion avec vos propres chiffres, pas une garantie comptable — remplacez chaque hypothèse par votre propre expérience.
Ce que l'outil ne mesure pas : la confiance du client qui se sent trompé et vous en tient rigueur, et non au criminel qui a collé le sticker. Voir le chiffre 4 ci-dessus — cette partie du dommage n'apparaît dans aucune comptabilité.
Et ce qu'il ne remplace jamais : le chiffre 7 reste valable quel que soit le résultat du calcul — un QR code qui n'est pas facile à remplacer coûte, dans tous les scénarios, moins cher que la seule protection chiffrée par cet outil.
Comment y remédier dès demain, sans tout un nouveau système
Trois étapes, dans cet ordre — non pas parce que le reste ne compte pas, mais parce que ces trois-là ont l'effet le plus rapide sur ce qu'un faux QR code vous coûte réellement.
1. Rendez chaque QR code difficile à remplacer
- Plastifiez, gravez ou imprimez vos QR codes directement sur le support — jamais comme un sticker isolé que vous avez un jour collé à la va-vite.
- Faites de même pour chaque code hors de la table : cartes de menu, affiches, et le terminal de paiement lui-même.
- Un code qui s'abîme visiblement dès qu'on colle quelque chose par-dessus devient instantanément une cible moins attirante.
2. Intégrez ce contrôle à une routine qui existe déjà
- Ajoutez « vérifier les QR codes » à votre tournée d'ouverture et de fermeture — voir la check-list ci-dessus.
- Un coup d'œil rapide par table en dressant la salle suffit ; un sticker collé par-dessus un autre saute alors immédiatement aux yeux.
- Répétez le même contrôle sur les affiches et les terminaux de paiement, pas seulement sur les tables.
3. Comparez le coût à la protection, pas à un seul incident
- Utilisez le calculateur ci-dessus avec vos propres volumes de commandes et votre addition moyenne.
- Comparez ce montant à ce que coûteraient la plastification, la gravure ou un code dynamique généré depuis votre caisse.
- Refaites le calcul chaque fois que la part de vos commandes ou paiements par QR code augmente sensiblement.
La réponse en bref
Un QR code falsifié sur votre table n'est pas un scénario tiré par les cheveux — c'est un schéma de fraude que le FBI, la police fédérale belge et le SPF Économie ont chacun confirmé indépendamment, et qui progresse précisément parce que les restaurants eux-mêmes sont massivement passés au QR code.
Le dommage est double : l'addition qui n'arrive jamais chez vous, et le client qui perd confiance dans un établissement qui n'y était pour rien. Les deux comptent, même si une seule des deux apparaît dans une comptabilité.
La solution est modeste face à ce qu'elle évite : rendez vos QR codes difficiles à remplacer, et intégrez leur vérification à une tournée que vous faites déjà.